Kan ein betalt VPN autorisere sesjonar utan kontoen din?
Token som ikkje kan koplast saman, kan skilje rettskontrollen frå sjølve sesjonen. Det som tel, er utforminga av utferding og innløysing, ikkje etiketten på innlogginga.
Å betale for ein tunnel treng ikkje bety at du viser betalingsidentiteten ved kvar tilkopling. Ei løysing kan kontrollere retten éin gong, gje kunden kryptografiske token og la gatewayen godta eit token seinare utan å sjå kontoen bak det. Om det faktisk skjuler noko, kjem an på vala for utferding og innløysing, så handsam det som ei spesifikasjonsøving med fire avsnitt i staden for ein funksjon du slår på.
Skil kjøpssteget frå sesjonssteget
Privacy Pass-arkitekturen i RFC 9576 gjev vokabularet: ein klient, ein attester, ein utferdar og ein opphavleg part. Klienten provar ein eigenskap overfor utferdaren og mottek token; seinare legg han fram eitt for opphavsparten, som avgjer om han vil tene det. Brukt på ein VPN kan eigenskapen som vert prova, vere nøyaktig éi tilgangseining.
Fakturering ser framleis det prosessen treng, og ingen påstår noko anna. Det smalare målet er at den seinare innløysinga ikkje kan knytast tilbake til kjøpet som laga tokenet. Det er ein bestemt, testbar eigenskap, og han er verdt å skrive ned.
Ein streng som ser tilfeldig ut, gjev ikkje dette. Viss utferdaren lagrar verdien ved sida av ein kundepost og gatewayen kan spørje etter den koplinga, er dei to handlingane knytte saman via database i staden for kryptografi. Konstruksjonen må gjere utferdaren ute av stand til å svare på spørsmålet, og utrullinga må hindre utferdaren og gatewayen i å slå saman oversiktene sine.
Avgjer kva eitt token autoriserer
«Eitt token kjøper tilgang» svarar nesten ingenting operativt. Er eininga éi tilkopling, ein tidskvote eller eit volum? Kan ein klient som mista svaret, ta opp att same tildelinga? Kva skjer når eit apparat koplar til på nytt under ei nettverksendring? Dei svara avgjer om løysinga er brukande, og kvart av dei har ei personvernfølgje.
| Reuse rule | What it buys | What it leaks |
|---|---|---|
| Single use per connection | Strongest unlinkability between sessions | Frequent reissuance, more purchase-to-use timing pairs |
| Bounded time window | Fewer tokens, reconnects work | Activity inside the window is linkable |
| Long-lived grant | Operationally simple | Behaves like an account reference with extra steps |
Vel éin med vilje og skriv feilåtferda ved sida av. Ein klient som prøver på nytt med ein ny rett etter eit tidsavbrot, brukar opp endå eining, noko som er både overrasking på rekninga og eit personvernsignal.
Skriv policyen for gjenbruk og tilbakekalling
Tilbakekalling er der anonyme løysingar vanlegvis bryt sitt eige løfte. Å seie opp eit abonnement og å gjere allereie utferda token ugyldige er ulike handlingar, og ein gateway som i det stille gjer eit kontooppslag for å avgjere, er ikkje lenger anonym på det punktet.
Vel ein utløpstid, ei utferdingsgrense og ei tilbakekallingshistorie som passar saman. Sjekk deretter dei eigne postane til gatewayen for felt som fører inn att koplinga du fjerna.
sudo grep -rIl --include='*.log' -e 'Bearer ' -e 'account_id' /var/log/vpn/
Det søket listar loggfiler som inneheld token- eller kontofelt, som er den første staden ei grundig løysing lek i praksis. Ein sesjonspost som lagrar tokenverdien ved sida av ein kontoidentifikator, øydelegg heile konstruksjonen, og han kjem vanlegvis via ei feilsøkingsendring ingen har gått tilbake til.
Definer òg kva gatewayen beheld etter at ein sesjon er avslutta. Varigskap, byte og endepunkt er nyttige for drift, og kvart av dei er ei brikke ein observatør gjerne vil ha. Hald oppbevaringsperioden kort og feltlista kort, og gå gjennom begge når ei feilsøkingsendring legg til ein kolonne. Ingen legg merke til eit nytt loggfelt før det har stått der i eit år.
Formuler påstanden, og så observasjonane som står att
Skriv personvernpåstanden i éi setning med føresetnadene: kva part som må vere ute av stand til å kople kva samanhengar, og kva som skjer viss utferdaren og gatewayen samanliknar notat. Ei løysing som overlever den setninga, kan gjennomgåast; ei som berre vert skildra som «null kunnskap», kan ikkje.
List så opp det som blir synleg uansett. Kjeldeadresser, tilkoplingstider, pakkestorleikar og det enkle faktum at eit kjøp skjedde kort før den einaste nye tilkoplinga dukka opp, ligg alt utanfor kryptografien. Ein einaste kunde som kjøper éi eining og koplar til éin gong, kan koplast saman berre ved hjelp av timing, og ingen tokenkonstruksjon endrar det.
Det ærlege resultatet er ei smalare kopling mellom konto og bruk, ikkje ein usynleg sesjon. Det er framleis verdt å byggje, så lenge dokumentasjonen seier det og driftsregistra stemmer med påstanden.