Prezradia počítadlá prevádzky, ktoré stránky ste navštívili cez VPN?

Otvoríte stránku prevádzky routera alebo panel poskytovateľa VPN a je tam súčet bajtov na zariadenie s grafom vedľa. Je lákavé čítať ten graf ako históriu prehliadania. Nie je to história a dôvod je štrukturálny, nie právny. Počítadlo sčíta veľkosti, kým história zaznamenáva ciele a obsah, a len to druhé povie, kam niekto šiel.

Začnite obrazovkou, ktorú čítate

Skôr než číslo vyložíte, zistite, čo ho vytvorilo. Súčet na zariadenie v routeri zvyčajne pochádza z počítadiel fyzického rozhrania, súčet v klientovi VPN z jeho tunela a panel poskytovateľa z účtovania na vzdialenej strane. Každý počíta inú časť tej istej relácie. Dva panely s rozdielnymi číslami za tú istú hodinu majú zvyčajne oba pravdu.

Interval je rovnako dôležitý ako zdroj. Súčet za celú dobu, denný agregát a okamžitá rýchlosť sú tri rôzne merania a len okamžitá rýchlosť má dosť rozlíšenia na to, aby sa dala priradiť k jednému úkonu.

Zapíšte zdroj a interval skôr, než zapíšete záver.

Počítadlá merajú vrstvy, nie stránky

Na peeru WireGuard sú prenosové počítadlá v wg show súčty pre ten peer vrátane šifrovaného obsahu. Výstup stavu OpenVPN uvádza bajty na klienta na vlastnej vrstve. Na hostiteľovi rozhranie tun počíta vnútorné IP pakety, kým fyzický adaptér počíta vonkajšie UDP pakety, takže sa obe líšia režiou zapuzdrenia a všetkým ostatným, čo sa delí o linku.

Retransmisie nafukujú súčet bez toho, aby dorazil nový obsah, a synchronizácia na pozadí môže na hodinu prevládnuť, kým používateľ číta obyčajný text.

Preto veľký súčet naznačuje dátovo náročnú aktivitu a nič konkrétnejšie. Veľkosť stiahnutého súboru a prírastok počítadla spolu súvisia, ale zriedka sa rovnajú.

Čo súčet môže a čo nemôže podložiť

Súčet bajtov nedokáže pomenovať stránku, pretože názvy a URL žijú v reláciách TLS alebo QUIC, do ktorých počítadlo nikdy nenazrie. Nedokáže oddeliť video stream od veľkej zálohy ani načítanie stránky od slučky obnovovania reklám. Podložiť dokáže tvrdenie o objeme a čase: toto zariadenie prenieslo toľko dát v tomto okne.

Aby z toho bolo tvrdenie o človeku, treba dva ďalšie prvky, identitu a koreláciu.

Dokument RFC 6973 privacy considerations vysvetľuje, prečo na tej kombinácii záleží, a preto starostlivá správa oddeľuje to, čo sa pozorovalo, od toho, čo sa vyvodilo. Ak záver potrebuje slovo pretože, samotné počítadlo nie je dostatočný dôkaz.

Čas a identita menia odpoveď

Priraďte počítadlo k pomenovanému používateľovi a presnému intervalu a stane sa iným objektom.

Potom ho môžete porovnať s inými pozorovaniami: záznamom prihlásenia, dopytom DNS, reláciou v inom systéme. Počítadlo neprezradilo cieľ, ale pomohlo niekomu, kto už mal hypotézu, potvrdiť ju. Šifrovanie chráni obsah a názvy pri prenose a neskrýva, že tok existoval, aký bol veľký ani kedy začal.

To je čestná hranica: vzory sú viditeľné, význam nie.

Rozhodnite, čo uchováte, skôr než začnete zbierať

Ak je požiadavkou plánovanie kapacity, odpovie na ňu hrubý denný agregát a stojí málo. Ak je požiadavkou história na používateľa, povedzte to výslovne, pomenujte polia a okno uchovávania a berte rozhodnutie ako politiku, nie ako funkciu panelu. Zbieranie podrobnej histórie preto, že to panel podporuje, je spôsob, akým uchovávanie rastie bez toho, aby o tom niekto rozhodol.

Pri riešení problémov porovnajte počítadlo s úkonom, ktorý testujete. Rovnomerne rastúci súčet dokazuje, že prevádzka tečie, nie že aplikácia funguje.

Ploché počítadlo počas relácie, ktorá zjavne funguje, zvyčajne znamená, že čítate uloženú hodnotu alebo nesprávne rozhranie. Pomenujte uchovávané polia a okno a ďalší audit bude mať čo konkrétne overiť.