Kaj lahko in česa ne more dokazati dnevnik VPN o brskanju

Preden izberete zbiralnik dnevnikov, se odločite, kateri dogodek mora revizija ugotoviti. Vprašanje, katera seja VPN je stopila v stik z naslovom cilja, je drugačno od vprašanja, katera oseba je odprla določeno stran. Oboje zahteva različne zapise, različne povezave in različne ravni zaupanja. Dnevnik povezave OpenVPN odgovarja na prvo in ne more odgovoriti na drugo.

Poimenujte dogodek, preden izberete zbiralnik

Zapis seje prikazuje sprejeto identiteto, čas začetka in konca ter naslov, ki ga je strežnik dodelil po lastni politiki. Dnevnik razreševalnika prikazuje, da je bilo ime povprašano pri tem razreševalniku. Zapis toka prikazuje naslove, vrata, protokol in čas, dnevnik aplikacije pa transakcijo, ki jo je ta aplikacija dejansko obdelala. Noben od teh štirih ne nadomešča drugega.

Vsak od njih ugotovi en dogodek, druge pa pusti odprte. Če vprašanje zapišete najprej, ne sestavite zgodbe, ki je podatki ne morejo podpreti.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

Prvi ukaz prikazuje dogodke seje iz dnevnika storitve. Drugi izpiše trenutni seznam odjemalcev z dodeljenimi naslovi, kar je preslikava, od katere je odvisna povezava pri reviziji. Tretji prikazuje stanje toka v živo, uporabno le, dokler povezava še obstaja.

Iskanje ni obisk

Brskalnik imena razrešuje špekulativno, odgovore shranjuje v predpomnilnik in jih znova uporablja, ne da bi nadzorovanega razreševalnika znova vprašal. Ime v dnevniku razreševalnika zato dokazuje iskanje, ne obiska. DNS prek HTTPS to vrzel še poveča, ker brskalnik, nastavljen za to, pošilja svoja vprašanja tja, kjer jih vaš običajni beležnik nikoli ne vidi.

Naslovi ciljev sami po sebi niso boljši. En naslov lahko gosti veliko nepovezanih spletnih mest, obratni DNS je ugibanje in ne rekonstrukcija, ime gostitelja, vidno med rokovanjem TLS, pa ni pot zahteve znotraj šifrirane seje.

Za natančne transakcije potrebujete lastne zapise dogodkov aplikacije ali zasnovo posrednika, ki je izrecno podprta za beleženje. Predor CONNECT posredniku da cilj in obseg, ne poti strani znotraj njega. Skrbniški dostop do omrežja ni licenca za tiho zamenjavo modela zaupanja aplikacije.

Povežite identiteto in čas, preden imenujete osebo

Zapis toka z notranjim izvornim naslovom ne pomeni ničesar, dokler ta naslov ni povezan s sejo ob istem času. Naslovi se znova uporabljajo in isti naslov je lahko uro prej pripadal drugi seji. Statična dodelitev je en način za ohranitev povezave, ne edini.

Meje prevajanja povezavo še oslabijo. Če si je več naprav že delilo en izvorni naslov pred vašo opazovalno točko, je najbolje, kar lahko prepoznate, skupna seja prehoda in ne ena naprava. Potrdilo ali račun, ki ga uporablja več ljudi, ima enak učinek.

Zabeležite časovne pasove, vire ure, opazovalne točke in vsak korak prevajanja. Manjkajoči zapisi lahko pomenijo, da je zapis toka potekel, da je bil senzor obiden ali da je bil dnevnik aplikacije izklopljen. Odsotnost ni dokaz, da se ni zgodilo nič.

Nato določite najmanjša polja, dovoljene bralce in obdobje hrambe za navedeni namen. Korelacija in napačno pripisovanje sta vprašanji zasnove in ne naknadna misel, metapodatki, ki identificirajo ljudi, pa si zaslužijo enako zaščito kot preslikava identitete, od katere so odvisni.

Preizkusite revizijo z dejavnostjo, ki jo nadzorujete

Ustvarite dovoljen promet, katerega sejo in aplikacijo že poznate, nato preverite, kaj je vsak zapis dejansko zajel. Izvedite iskanje brez nalaganja strani, naložite stran iz predpomnilnika in odprite povezavo prek posrednika, ter poglejte, kateri dogodki se pojavijo.

Poročajte o dogodku, ki ga dokazi podpirajo, in povejte, česa ne pokrivajo. Skromen zapis z navedenim obsegom prestane pregled; ambiciozna zgodovina brskanja, sestavljena iz ugibanj, ne prestane.