Presmerovaný port VPN: čo vidia návštevníci a poskytovateľ

Presmerovanie portu dáva cudzím ľuďom cestu k službe cez verejnú adresu poskytovateľa. Táto jediná zmena ovplyvňuje súčasne vystavenie aj rozpoznateľnosť a ani jedno z nich nezverejňuje meno toho, kto službu prevádzkuje. Držať oboje oddelené sa vyhýba opačným chybám: považovať 'presmerovanie' za anonymitu a považovať ho za identifikáciu. Tri otázky ich čisto oddeľujú a odpovede prichádzajú z rôznych dôkazov.

Tri objekty, tri rôzne otázky

Držte verejnú adresu oddelene od aplikácie, ktorá za ňou odpovedá, a oboje oddelene od osoby alebo organizácie, ktorá to prevádzkuje. Každé má svoje publikum a svoje dôkazy. Ich zmiešaním vznikajú závery, ktoré znejú upravene a sú chybné.

Prejdite ich v tomto poradí. Prvá je otázka dostupnosti, druhá je otázka identity aplikácie a tretia je otázka prisúdenia, ktorú prvé dve osvetľujú len čiastočne. Keď sa niekto pýta, či je presmerovanie portu súkromné, opýtajte sa, ktorú z troch má na mysli. Odpovede sa skutočne líšia a stránka so zásadami zvyčajne rieši len jednu z nich.

Čo môže návštevník prepojiť medzi koncovými bodmi

Návštevník sa pripojí ku koncovému bodu a vidí to, čo aplikácia legitímne predkladá: 'názov hostiteľa', názov certifikátu, prihlasovaciu stránku, zverejnený obsah. Tieto údaje identifikujú službu aj vtedy, keď je jej obvyklá prístupová adresa skrytá za tunelom. Dva koncové body, ktoré predkladajú ten istý pomenovaný web, dávajú pozorovateľom základ na ich prepojenie. Nič v tom správaní nie je únik, pretože aplikácia bola navrhnutá tak, aby bola vidieť.

Zhoda certifikátov, presmerovaní a obsahu stránok medzi dvoma koncovými bodmi je silný signál, že patria jednej službe. Zostáva to tvrdením o službe, nie o človeku, kým ich nejaký iný záznam nespojí.

Pokyny IETF k súkromiu opisujú, ako trvalé identifikátory umožňujú korelovať interakcie v čase. Korelácia nie je prisúdenie, pretože jednu službu môže spravovať viac ľudí a adresa sa môže presunúť medzi nesúvisiacimi odberateľmi. Práve tento rozdiel bráni tomu, aby sa zistenie korelácie zmenilo na obvinenie.

Čo musí poskytovateľ presmerovania vedieť

Aby doručil prichádzajúce spojenie, musí systém poskytovateľa držať aktívny vzťah medzi verejným vstupným bodom a vnútorným cieľom. Tento prevádzkový fakt sa líši od toho, čo vidí návštevník, a opäť od toho, čo sa poskytovateľ rozhodne uchovať. Držte obe otázky oddelene, keď čítate stránku so zásadami, pretože jedna je nevyhnutná a druhá je rozhodnutie. Tvrdenie, že sa neuchováva história prehliadania, nič nehovorí o histórii mapovaní.

Či pretrvávajú historické mapovania, prepojenia s účtom alebo záznamy o spojeniach, je otázka pre skutočnú politiku a implementáciu poskytovateľa. Presmerovanie nedokazuje, že sa každá kategória zaznamenáva. Pýtajte sa konkrétne, ktoré polia prežijú po odvolaní mapovania a na ako dlho.

Prichádzajúca dostupnosť je tiež oddelená od odchádzajúceho smerovania klienta, DNS a správania pri zlyhaní. Pridanie mapovania neopisuje, ako odchádza zvyšok prevádzky klienta.

Ako dlho mapovanie trvá, mení vystavenie

Mapovanie môže trvať počas relácie, počas rezervácie alebo podľa politiky poskytovateľa, ktorá ho mení. Nemá sa predpokladať ani trvalé pridelenie, ani stála rotácia; čítajte dokumentované správanie produktu a zaznamenávajte, čo pozorujete. Dve pozorovania týždeň od seba povedia o 'rotácii' viac než akákoľvek marketingová veta na stránke produktu. Zapíšte pozorovaný interval vedľa koncového bodu do svojich poznámok, pretože interval je súčasťou vystavenia.

Životnosť mení, aká korelácia je možná. Stabilný koncový bod pozýva k dlhodobému sledovaniu jednej služby, zatiaľ čo rotujúci robí každé pozorovanie ťažšie spojiteľným s predchádzajúcim. Ani jedna vlastnosť nie je zárukou o záznamoch poskytovateľa a ani jedna nenahrádza rozhodnutie o tom, čo zverejňuje samotná služba.

Zverejňujte vedome, potom zatvorte obe dvere

Overte, že poskytovateľ povoľuje protokol, ktorý potrebujete, že cieľový poslucháč je ten, ktorý ste mali na mysli, a že ovládacie prvky hostiteľa a aplikácie stále obmedzujú prístup. Pred zverejnením sa pozrite, čo služba predloží cudziemu človeku. Tieto dva príkazy ukazujú certifikát a hlavičky, ktoré návštevník dostane.

openssl s_client -connect pub.example.net:443 -brief < /dev/null
curl -sSI https://pub.example.net/

Zverejnenie niečoho neoprávňuje vystaviť jeho administračné stránky alebo zrušiť prihlásenie aplikácie a preklad neposkytne TLS službe, ktorá ho nikdy nemala. Držte šifrovaný protokol a kontroly identity servera na mieste bez ohľadu na to, ako prevádzka prichádza. Potom skontrolujte hlavičky odpovede, pretože 'banner' alebo ladiaca stránka môže cudziemu človeku povedať viac, než služba zamýšľa. To, čo dva príkazy vracajú, je rovnaký pohľad, aký dostane pozorovateľ.

Ukončenie služby znamená dve uzavretia, nie jedno: stiahnite mapovanie prostredníctvom jeho vlastníka a potom sa vysporiadajte s poslucháčom a oprávnením ako so samostatnými položkami. Záložkou uložený koncový bod, ktorý prestane odpovedať, neodvoláva prihlasovacie údaje a nezískava späť už doručené informácie.