Ali lahko števci prometa razkrijejo, katere strani ste obiskali prek VPN?

Odprete stran prometa na usmerjevalniku ali nadzorno ploščo ponudnika VPN in tam je skupna količina bajtov na napravo z grafom ob strani. Vabljivo je ta graf brati kot zgodovino brskanja. Ni je, in razlog je strukturni, ne pravni. Števec sešteva velikosti, medtem ko zgodovina beleži cilje in vsebino, in le drugo pove, kam je kdo šel.

Začnite pri zaslonu, ki ga berete

Preden razložite število, ugotovite, kaj ga je ustvarilo. Skupna vrednost na napravo na usmerjevalniku običajno prihaja iz števcev fizičnega vmesnika, skupna vrednost v odjemalcu VPN iz njegovega tunela, plošča ponudnika pa iz obračunavanja na oddaljeni strani. Vsak šteje drug del iste seje. Dve plošči z različnima številkama za isto uro imata običajno obe prav.

Interval je enako pomemben kot vir. Skupna vrednost od začetka, dnevni povzetek in trenutna hitrost so tri različne meritve in le trenutna hitrost ima dovolj ločljivosti, da se ujame z enim dejanjem.

Zapišite vir in interval, preden zapišete sklep.

Števci merijo plasti, ne strani

Pri omrežju WireGuard so prenosni števci v wg show skupne vrednosti za to vozlišče, vključno s šifriranim tovorom. Izhod stanja OpenVPN poroča bajte na odjemalca na svoji plasti. Na gostitelju vmesnik tun šteje notranje pakete IP, fizični vmesnik pa zunanje pakete UDP, zato se razlikujeta zaradi stroškov zapakiranja in zaradi vsega drugega, kar si deli povezavo.

Ponovni prenosi napihnejo skupno vrednost, ne da bi prispela nova vsebina, sinhronizacija v ozadju pa lahko prevlada eno uro, medtem ko uporabnik bere navadno besedilo.

Zato velika skupna vrednost nakazuje podatkovno zahtevno dejavnost in nič bolj določnega. Velikost prenesene datoteke in prirastek števca sta povezana, a redko enaka.

Kaj skupna vrednost lahko in česa ne more podpreti

Skupna količina bajtov ne more imenovati strani, ker imena in naslovi URL živijo znotraj sej TLS ali QUIC, v katere števec nikoli ne pogleda. Ne more ločiti video toka od velike varnostne kopije ali nalaganja strani od zanke za osveževanje oglasov. Podpreti more trditev o obsegu in času: ta naprava je v tem oknu prenesla toliko podatkov.

Da bi iz tega nastala trditev o osebi, sta potrebni še dve sestavini, identiteta in korelacija.

Dokument RFC 6973 privacy considerations pojasnjuje, zakaj je ta kombinacija pomembna, in zato skrbno poročilo ločuje opaženo od izpeljanega. Če sklep potrebuje besedo ker, števec sam ni dovolj dokaz.

Čas in identiteta spremenita odgovor

Števec pripnite k poimenovanemu uporabniku in natančnemu intervalu in postane drug predmet.

Nato ga lahko postavite ob druga opažanja: zapis prijave, poizvedbo DNS, sejo v drugem sistemu. Števec ni razkril cilja, a je nekomu, ki je hipotezo že imel, pomagal, da jo potrdi. Šifriranje ščiti vsebino in imena med prenosom in ne skriva, da je tok obstajal, kako velik je bil ali kdaj se je začel.

To je poštena meja: vzorci so vidni, pomen ni.

Odločite, kaj obdržite, preden začnete zbirati

Če je zahteva načrtovanje zmogljivosti, ji zadosti grob dnevni agregat in stane malo. Če je zahteva zgodovina na uporabnika, to povejte izrecno, poimenujte polja in okno hrambe ter odločitev obravnavajte kot politiko, ne kot funkcijo plošče. Zbiranje podrobne zgodovine, ker jo plošča podpira, je način, kako hramba raste, ne da bi kdo odločil.

Pri odpravljanju težav primerjajte števec z dejanjem, ki ga preizkušate. Enakomerno naraščajoča skupna vrednost dokazuje, da promet teče, ne da aplikacija deluje.

Raven števec med sejo, ki očitno deluje, običajno pomeni, da berete predpomnjeno vrednost ali napačen vmesnik. Poimenujte shranjena polja in okno, pa bo imel naslednji pregled kaj konkretnega preveriti.