Kva eit WireGuard-handtrykk-tidsstempel eigentleg fortel deg

Éi line som seier «siste handtrykk, for to minutt sidan» ser ut som prov på varig aktivitet og er svakare enn det. Ho markerer den siste fullførte nøkkelutvekslinga for ein peer, som skjer på ein fast nøkkelrotasjons-timer medan trafikken flyt og stoggar når peeren blir stille. Om det tidspunktet knyter ein person til noko, avheng av identifikatorane som er lagra ved sida av, og av klokkene i begge systema. Her er korleis oppføringa oppfører seg i dei to vanlegaste stakkane, og kvar lesinga av ho går gale.

To oppføringar, to ulike tydingar

WireGuard held eitt handtrykk-tidsstempel per peer, erstatta ved kvar nøkkelrotasjon, pluss bytteteljarar i kvar retning. OpenVPN registrerer vanlegvis ein øktsstart, ei fråkopling og alt den konfigurerte detaljgraden legg til, noko som gjer eininga i oppføringa til ein økt snarare enn ei nøkkelutveksling.

Den skilnaden avgjer kva eit fråvær tyder:

Kvifor eit handtrykk ikkje er varig bruk

WireGuard roterer nøklar omtrent kvart andre minutt så lenge det er data å verne, og ein peer som blir inaktiv sluttar rett og slett. Eit utdatert handtrykk kan difor tyde at laptoppen søv, at brukaren slutta å jobbe, eller at nettverket slapp pakkane som ville utløyst neste utveksling. Tidsstempelet er ei nedre grense for aktivitet, ikkje ein sporing av merksemd.

Den motsette feilen er like lett. Varig keepalive-trafikk held tunnelen varm på eit inaktivt apparat, så eit nyleg handtrykk kan dukke opp på ein maskin ingen har rørt på ein time. Bytteteljarar hjelper her, fordi dei skil ein peer som sender ekte data frå ein som berre utvekslar keepalives, og dei fortel òg kva retning som bar volumet. Ingenting av dette avdekkjer ein destinasjon, ei side eller ei spørjing.

Identifikatorar reiser med tidsstempelet

Eit tidspunkt utan konto, offentleg nøkkel eller kjeldadresse er eit hittebarn. Par tidsstempelet med identiteten til peeren, og observasjonen blir samankjedbar: ein offentleg nøkkel held fram på tvers av adresseendringar, medan ei kjeldadresse kan delast av mange abonnentar bak adresseomsetjinga til leverandøren.

Den asymmetrien er det dei fleste personvernsdiskusjonar overser. Adressa ser anonym ut fordi ho er delt, og nøkkelen ser teknisk ut fordi han er lang, men nøkkelen er den stabile identifikatoren. Å halde eitt felt og sleppe det andre endrar korrelasjonsrisikoen utan å endre den tilsynelatande presisjonen.

Korrelasjonen sjølv er den dokumenterte bekymringa. Å knyte eit tilkoplingstidspunkt til ei innloggingshending hjå ein leverandør, ein støttebillett eller ei betalingsoppføring kan binde ein identitet til aktivitet sjølv når ingen destinasjon nokon gong er skriven ned, og difor tyder parringa meir enn formateringa.

Korrelasjon på tvers av system krev klokkeomtanke

To system som rapporterer same augneblink er sjeldan samde til sekundet. Det eine kan bruke ei tidssoneforskyving i utdataa, det andre kan gå på ei klokke som er fleire sekund feil, og ein virtuell maskin kan drifte etter ein suspendering.

Før du konkluderer med at to hendingar skjedde samstundes, konverter båe til same sone og sjekk forskyvinga i den rå oppføringa i staden for i visinga. Viss gapet du måler er mindre enn den sannsynlege skilnaden, har du inga rekkjefølgje i det heile.

Den praktiske regelen er å halde presisjonen feilsøkingsoppgåva treng og ikkje meir. Eit tal på økter per time svarar på eit tilgjengelegheitsspørsmål utan å føre historikk per konto, og eit aggregat kan oppbevarast mykje lengre enn dei rå radene det kom frå.

Les oppføringa med kommandoar, ikkje fantasi

Skriv ut felta du skal resonnere om, i einingane verktøyet lagrar og ikkje dei eit dashbord viser.

Desse to linjene viser alderen på handtrykket og bytteteljarane for kvar WireGuard-peer, og deretter same slags materiale frå ei OpenVPN-statusfil:

wg show all latest-handshakes
wg show wg0 transfer
cat /run/openvpn/server.status

Samanlikn alderen med nøkkelrotasjonsintervallet før du dreg ein konklusjon, og les teljarane saman med han. Ein peer med nyleg handtrykk og nesten inga overføring utvekslar keepalives, medan ein peer med utdatert handtrykk og store teljarar var oppteken til han stoppa. Ingen av linjene seier kva som vart gjort, og å seie det rett ut er meir nøyaktig enn å antyde at tidsstempelet provar eit besøk.