Kva ruterloggar viser når VPN-nyttelasta er kryptert

Kryptering avgjer om innhaldet i ein pakke kan lesast, og seier ingenting om korvidt pakken si eksistens, storleik og tidspunkt blir skrive ned. Ein ruter som videresendar ein kryptert tunnel, ser ein straum han må levere, og han kan telje, tidsstemple og tilordne den straumen. Samanlikn kva ein heimegateway registrerer med kva eit nettverk lenger oppe registrerer, og skilnaden viser seg å handle om kva felt kvar av dei har grunn til å halde på.

Den samanlikninga er den nyttige, fordi dei to registreringane stadig blir blanda saman i personvernsdebattar. Dei svarar på ulike spørsmål og blir oppbevarte i ulike periodar.

To observatørar, to ulike registreringar

Gatewayen ved kanten din veit kva lokalt grensesnitt straumen brukte, og når han sjølv deler ut adresser, kva eining som hadde den adressa på det tidspunktet. Han kan òg sjå kva oppløysar du spurde, og kva endepunkt du kontakta. Lenger oppe kjem den same trafikken omsett, så eit anna nettverk ser éi offentleg adresse som heile husstanden deler, som er funksjonen skildra i RFC 3022. Ingen av observatørane las nyttelasta, og ingen av registreringane inneheld den andre.

Byttetal høyrer òg til denne kategorien. Ein volumbasert teljar registrerer at trafikk passerte, utan å registrere kva det var.

Kva felt etterlèt faktisk eit spor

Kva ei gitt eining lagrar, avheng av kva som er aktivert, så påstanden om noko universelt fortener mistanke. Tabellen viser felta som betyr noko i praksis, og kva kvart av dei inneber.

Les tabellen rad for rad i staden for kolonne for kolonne, fordi kvar rad støttar ein annan konklusjon. Endepunktadressa viser at det finst ein tunnel, ikkje kva han transporterte. Lokal einingstilordning er rada som bind ein straum til ein person, og det er rada ein heimegateway held på, medan ein observatør lenger oppe vanlegvis ikkje gjer det.

Nyttelastrada er den same i begge kolonnane, og det er den delen krypteringa faktisk garanterer. Alt anna avheng av loggval.

Ein ruter som avsluttar tunnelen, ser meir

Ein gateway som videresendar andre sin krypterte trafikk, og ein ruter som sjølv køyrer tunnelen, inntar ulike posisjonar. Den andre held på tunnelstatus og nøklane til han, og kan difor sjå indre adresser og destinasjonane inne i tunnelen. Viss den ruteren òg omset adresser for det indre nettverket, kan loggane hans knyte ei eining til ein indre destinasjon i éi registrering. Det er ei anna avsløring enn den ytre straumen, produsert av same boksen.

Samanlikn det med ein laptopklient bak ein vanleg gateway: gatewayen registrerer den ytre straumen, og klienten sin eigen logg held på den indre detaljen. Å spørje kven som har kva halvdel av biletet, er meir produktivt enn å spørje om nettverket kan sjå gjennom krypteringa. Det ærlege svaret på det andre spørsmålet er nei, og det er heller ikkje spørsmålet som avgjer eksponeringa di.

Sjekk kva di eiga eining registrerer

Sjå på ditt eige utstyr før du resonnerer om andres. Kommandoane nedanfor viser brannmurreglar med teljarar, framleis levande tilkoplingsoppføringar og logglinjer som nemner ei tilkopling. Dei gjeld for ein Linux-basert ruter, som mesteparten av forbrukar-fastvaren stammar frå.

nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -l

Eit regelsett med teljarar fortel deg kva eininga er villig til å telje, og tilkoplingstabellen viser levande straumar i staden for historikk. Logglinjer stadfestar om fastvaren i det heile skriv tilkoplingshendingar, og det avgjer det meste av diskusjonen. Tomt utdata på alle fire kommandoane betyr at boksen videresendar utan å registrere, og det er òg eit svar. Gjenta sjekken på klienten, fordi loggen hans held på den andre halvdelen av biletet.

Noter dei aktiverte funksjonane og oppbevaringsinnstillinga ved sida av utdataa. Den same maskinvaren kan vere stille i dag og snakkesalig etter ei fastvareoppdatering som slår på telemetri.