Co pokazują logi routera, gdy ładunek VPN jest zaszyfrowany

Szyfrowanie decyduje, czy można odczytać zawartość pakietu, i nic nie mówi o tym, czy istnienie pakietu, jego rozmiar i czas zostaną zapisane. Router przekazujący zaszyfrowany tunel widzi przepływ, który musi dostarczyć, i może go zliczyć, opatrzyć znacznikiem czasu i przypisać. Porównaj, co zapisuje brama domowa, z tym, co zapisuje sieć wyżej, a różnica okaże się dotyczyć tego, które pola każde z nich ma powód zachowywać.

To porównanie jest tym użytecznym, ponieważ oba zapisy są w dyskusjach o prywatności stale mylone. Odpowiadają na różne pytania i są przechowywane przez różne okresy.

Dwaj obserwatorzy, dwa różne zapisy

Brama na twoim skraju wie, którego lokalnego interfejsu użył przepływ, a gdy sama przydziela adresy, które urządzenie miało wtedy ten adres. Może też widzieć, o który resolver zapytałeś i z którym punktem końcowym się połączyłeś. Wyżej ten sam ruch przychodzi przetłumaczony, więc inna sieć widzi jeden publiczny adres współdzielony przez całe gospodarstwo domowe, co jest funkcją opisaną w RFC 3022. Żaden z obserwatorów nie czytał ładunku i żaden z zapisów nie zawiera drugiego.

Sumy bajtów również należą do tej kategorii. Licznik objętości zapisuje, że ruch przeszedł, nie zapisując, czym był.

Które pola naprawdę zostawiają ślad

To, co przechowuje dane urządzenie, zależy od tego, co jest włączone, więc każde uniwersalne twierdzenie zasługuje na nieufność. Tabela wymienia pola, które mają znaczenie w praktyce, i co każde z nich oznacza.

Czytaj tabelę wierszami, a nie kolumnami, ponieważ każdy wiersz wspiera inny wniosek. Adres punktu końcowego pokazuje, że tunel istnieje, a nie co przewoził. Mapowanie urządzeń lokalnych to wiersz, który wiąże przepływ z osobą, i to ten wiersz zachowuje brama domowa, podczas gdy obserwator wyżej zwykle go nie zachowuje.

Wiersz ładunku pozostaje taki sam w obu kolumnach i to jest część, którą szyfrowanie naprawdę gwarantuje. Wszystko inne zależy od decyzji o logowaniu.

Router, który kończy tunel, widzi więcej

Brama przekazująca cudzy zaszyfrowany ruch i router samodzielnie obsługujący tunel zajmują różne pozycje. Drugi przechowuje stan tunelu i klucze do niego, a więc może widzieć adresy wewnętrzne i cele wewnątrz tunelu. Jeśli ten router tłumaczy też adresy dla sieci wewnętrznej, jego logi mogą połączyć urządzenie z celem wewnętrznym w jednym zapisie. To inne ujawnienie niż zewnętrzny przepływ, wytworzone przez to samo pudełko.

Porównaj to z klientem laptopa za zwykłą bramą: brama zapisuje zewnętrzny przepływ, a własny log klienta zachowuje szczegół wewnętrzny. Pytanie, kto trzyma którą połowę obrazu, jest bardziej produktywne niż pytanie, czy sieć widzi przez szyfrowanie. Uczciwa odpowiedź na drugie pytanie brzmi nie, a to też nie jest pytanie, które decyduje o twoim narażeniu.

Sprawdź, co zapisuje twoje własne urządzenie

Przyjrzyj się własnemu sprzętowi, zanim zaczniesz rozważać cudzy. Poniższe polecenia wymieniają reguły zapory z licznikami, wciąż żywe wpisy połączeń i linie logu wspominające połączenie. Dotyczą routera opartego na Linuksie, z którego wywodzi się większość firmowego oprogramowania konsumenckiego.

nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -l

Zestaw reguł z licznikami mówi, co urządzenie jest gotowe zliczać, a tabela połączeń pokazuje żywe przepływy, a nie historię. Linie logu potwierdzają, czy oprogramowanie w ogóle zapisuje zdarzenia połączeń, i to rozstrzyga większość sporu. Puste wyjście przy wszystkich czterech poleceniach oznacza, że pudełko przekazuje bez zapisywania, i to też jest odpowiedź. Powtórz sprawdzenie na kliencie, ponieważ jego log zachowuje drugą połowę obrazu.

Zapisz włączone funkcje i ustawienie przechowywania obok wyników. Ten sam sprzęt może dziś milczeć, a po aktualizacji oprogramowania włączającej telemetrię stać się gadatliwy.