Dekketrafikk på en VPN: hvilken observatør gjemmer du deg for

Se for deg at du deler et kafénettverk med noen som bruker en VPN, og alt du ser er pakkestørrelser og timing. Dekketrafikk skal gjøre det bildet uskarpt. Følg utfyllingen fra laptopen til gatewayen, og uskarpheten viser seg å være lokal: den slutter der gatewayen slutter. Alt etter det punktet er et nytt observasjonsproblem på den samme virkelige trafikken.

Så det første spørsmålet er aldri hvor mye fyll som skal sendes. Det er hvilken observatør du gjemmer deg for, og hvor den observatøren sitter.

Start ved laptopen

På den lokale lenken ser en observatør krypterte pakker forlate og ankomme. Uten utfylling er en stor opplasting en serie pakker i full størrelse, en samtale er en jevn strøm av mellomstore pakker, og en ledig klient sender keepalives. Disse formene korrelerer med hva brukeren gjør selv når innholdet er uleselig. Fyll kan glatte ut formen, men til prisen av å sende byte ingen ba om.

Skriv ned hva den observatøren ellers ville lagt merke til: et utbrudd i starten av en overføring, et hull når en samtale slutter, en rytme av ledige perioder. Hvis du ikke kan navngi trekket, kan du ikke hevde at fyllet skjuler det.

Følg fyllet til gatewayen

Laptopen sender utfylling til en samarbeidende gateway, som kaster den og videresender den virkelige trafikken. Det samarbeidet er mekanismen: uten et endepunkt som fjerner fyllet, har du lagt last på noen andres vei i stedet for å skape dekning. Den Tors utfyllingsspesifikasjon gjør den samme delingen eksplisitt: lenkeutfylling mellom tilstøtende reléer og kretsutfylling knyttet til protokolltilstanden.

Tenk nå på hva gatewayen ser. Den ser den virkelige trafikken pluss fyllet, som betyr at den lærer mer og ikke mindre, med mindre den er parten du stoler på. Dekketrafikk flytter tillit; den fjerner ikke behovet for den.

Se deretter på det andre segmentet

Etter gatewayen er de videre forbindelsene til virkelige destinasjoner vanlig trafikk med vanlige former. En observatør der, enten det er en hostingleverandør eller destinasjonsnettverket, ser de samme utbruddene som utfyllingen skulle skjule. Hvis den observatøren var den du var opptatt av, gjorde utfyllingen ingenting for deg. Denne grensen er hele poenget med å gå veien.

Dekketrafikk er begrenset til et segment, og å utvide omfanget betyr å utvide samarbeidet.

Retning og form

Utfylling som bare sendes utover, skjuler tidspunktet for det du sender. Den sier ingenting om tidspunktet for det som kommer tilbake, fordi svar ankommer etter sin egen plan. Asymmetrisk skjuling er normalt og verdt å si høyt: en økt med tung nedlasting viser fortsatt formen sin på den innkommende siden.

Pakkelengde, utbruddsstruktur, start- og stopptider og intervaller mellom ankomster bærer alle informasjon. En byteteller som holder seg flat kan eksistere sammen med en svært gjenkjennelig fordeling av pakkestørrelser. Flate totaler er ikke flat atferd.

Hva budsjettet kjøper

Fyll bruker kapasitet som noen betaler for: målt data, konkurranse om opplastingslenken, køforsinkelse for andre brukere på samme forbindelse. Å følge den maksimale tilgjengelige hastigheten er også selvdestruktivt, fordi det maksimumet beveger seg med lenken, og fyllet beveger seg da med det. Et erklært budsjett, med erklært atferd når budsjettet er brukt opp, er forskjellen mellom en mekanisme og en ulykke.

Vurder resultatet mot observasjonen du navnga i starten. En test som viser redusert gjenkjenning under en definert observatør, er et resultat; et løfte om at mer trafikk betyr mindre informasjon, er det ikke.

Å bestemme om man skal gjøre det i det hele tatt

For de fleste er svaret nei, og den ærlige grunnen er at en bakgrunnsstrøm i full hastighet er en dårlig erstatning for programvare som dokumenterer hva den beskytter. Utfylling er legitim ingeniørkunst, og den hører hjemme i design som navngir sin observatør, sine samarbeidende endepunkter, sin kostnad og sine grenser. Det er ikke en avkrysningsboks som gjør en VPN til et anonymitetssystem.

Hvis du implementerer det, skriv ned observatørmodellen først. Hver senere beslutning, fra pakkestørrelser til nedstengningsatferd, følger av det ene avsnittet.