Čo môže a čo nemôže VPN protokol dokázať o prehliadaní

Skôr než vyberiete zberač záznamov, rozhodnite, ktorú udalosť má audit preukázať. Otázka, ktorá VPN relácia kontaktovala cieľovú adresu, je iná než otázka, ktorá osoba otvorila konkrétnu stránku. Obe vyžadujú iné záznamy, iné prepojenia a inú mieru istoty. Protokol spojenia OpenVPN odpovedá na prvú a nemôže odpovedať na druhú.

Pomenujte udalosť skôr, než vyberiete zberač

Záznam relácie ukazuje prijatú identitu, čas začiatku a konca a adresu, ktorú server pridelil podľa svojej politiky. Protokol prekladača ukazuje, že sa na tomto prekladači dopytovalo meno. Záznam toku ukazuje adresy, porty, protokol a čas a protokol aplikácie ukazuje transakciu, ktorú aplikácia skutočne obslúžila. Žiadny z tých štyroch nenahrádza iný.

Každý z nich preukazuje jednu udalosť a ostatné necháva otvorené. Zapísanie otázky vopred vám bráni zostaviť príbeh, ktorý údaje nemôžu podporiť.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

Prvý príkaz ukazuje udalosti relácie z protokolu služby. Druhý vypíše aktuálny zoznam klientov s pridelenými adresami, čo je mapovanie, od ktorého závisí prepojenie pri audite. Tretí ukazuje živý stav toku, užitočný len dovtedy, kým spojenie existuje.

Dopyt nie je návšteva

Prehliadač prekladá mená špekulatívne, odpovede ukladá do vyrovnávacej pamäte a znova ich používa bez toho, aby sa sledovaného prekladača znova pýtal. Meno v protokole prekladača preto preukazuje dopyt, nie návštevu. DNS cez HTTPS túto medzeru rozširuje, pretože prehliadač tak nastavený posiela svoje otázky tam, kde ich váš bežný záznamník nikdy nevidí.

Cieľové adresy samy o sebe lepšie nie sú. Jedna adresa môže hostovať mnoho nesúvisiacich stránok, reverzný DNS je dohad a nie rekonštrukcia a meno hostiteľa viditeľné počas výmeny TLS nie je cestou požiadavky vnútri šifrovanej relácie.

Na presné transakcie potrebujete vlastné záznamy udalostí aplikácie alebo návrh proxy, ktorý je na protokolovanie výslovne podporovaný. Tunel CONNECT dáva proxy cieľ a objem, nie cesty stránok vnútri. Administratívny prístup k sieti nie je licenciou na tiché nahradenie modelu dôvery aplikácie.

Spojte identitu a čas, než pomenujete osobu

Záznam toku s vnútornou zdrojovou adresou neznamená nič, kým sa táto adresa v rovnakom čase nespojí s reláciou. Adresy sa znova používajú a tá istá adresa mohla o hodinu skôr patriť inej relácii. Statické pridelenie je jeden spôsob, ako spojenie udržať, nie jediný.

Hranice prekladu prepojenie ďalej oslabujú. Ak viacero zariadení už zdieľalo jednu zdrojovú adresu pred vaším pozorovacím bodom, najlepšie, čo môžete určiť, je zdieľaná relácia brány, nie jediné zariadenie. Certifikát alebo účet používaný viacerými ľuďmi má rovnaký účinok.

Zaznamenávajte časové pásma, zdroje času, pozorovacie body a každý krok prekladu. Chýbajúce záznamy môžu znamenať, že záznam toku vypršal, že bol senzor obídený alebo že protokol aplikácie bol vypnutý. Neprítomnosť nie je dôkazom, že sa nič nestalo.

Potom určte minimálne polia, povolených čitateľov a dobu uchovávania pre uvedený účel. Korelácia a chybné priradenie sú otázky návrhu, nie dodatočný nápad, a metadáta, ktoré identifikujú ľudí, si zaslúžia rovnakú ochranu ako mapovanie identity, od ktorého závisia.

Otestujte audit aktivitou, ktorú ovládate

Vygenerujte povolenú prevádzku, ktorej reláciu a aplikáciu už poznáte, a potom skontrolujte, čo každý záznam skutočne zachytil. Vykonajte dopyt bez načítania stránky, načítajte stránku z vyrovnávacej pamäte a otvorte spojenie cez proxy a pozrite sa, ktoré udalosti sa objavia.

Nahláste udalosť, ktorú dôkazy podporujú, a povedzte, čo nepokrývajú. Skromný záznam s uvedeným rozsahom prejde revíziou; ambiciózna história prehliadania zložená z dohadov neprejde.