A mundet një VPN me pagesë të autorizojë sesione pa llogarinë tuaj?
Shenjat që nuk mund të lidhen mund të ndajnë kontrollin e përshtatshmërisë nga vetë sesioni. Ajo që ka rëndësi është dizajni i lëshimit dhe shlyerjes, jo etiketa në hyrje.
Të paguash për një tunel nuk do të thotë domosdoshmërisht të paraqitësh identitetin e faturimit në çdo lidhje. Një dizajn mund të kontrollojë përshtatshmërinë një herë, t'i japë klientit shenja kriptografike dhe ta lejojë portën të pranojë një shenjë më vonë pa e parë llogarinë pas saj. Nëse kjo vërtet fsheh diçka varet nga zgjedhjet e lëshimit dhe shlyerjes, prandaj trajtojeni si ushtrim specifikimi me katër seksione, jo si një funksion që e ndizni.
Ndajeni hapin e blerjes nga hapi i sesionit
Arkitektura Privacy Pass në RFC 9576 jep fjalorin: një klient, një vërtetues, një lëshues dhe një origjinë. Klienti i provon një veti lëshuesit dhe merr shenja; më vonë i paraqet një origjinës, e cila vendos nëse do t'i shërbejë. E zbatuar në një VPN, vetia e vërtetuar mund të jetë një njësi e vetme aksesi.
Faturimi vazhdon të shohë çfarë i nevojitet procesit të vet, dhe askush nuk po pretendon të kundërtën. Qëllimi më i ngushtë është që shlyerja e mëvonshme të mos mund të lidhet me blerjen që prodhoi shenjën. Kjo është një veti konkrete dhe e testueshme, dhe është ajo që ia vlen të shkruhet.
Një varg bearer që duket i rastësishëm nuk e ofron këtë. Nëse lëshuesi e ruan vlerën pranë një regjistri klienti dhe porta mund të kërkojë atë pasqyrim, dy ndërveprimet lidhen nga baza e të dhënave, jo nga kriptografia. Ndërtimi duhet ta bëjë lëshuesin të paaftë të përgjigjet për atë pyetje, dhe vendosja duhet të pengojë lëshuesin dhe portën të bashkojnë pamjet e tyre.
Vendosni çfarë autorizon një shenjë
«Një shenjë blen akses» nuk thotë pothuajse asgjë në aspektin operativ. A është njësia një lidhje e vetme, një kuotë kohe apo një vëllim? A mundet një klient që humbi përgjigjen të vazhdojë të njëjtin lejim? Çfarë ndodh kur një pajisje rilidhet gjatë një ndryshimi rrjeti? Këto përgjigje vendosin nëse dizajni është i përdorshëm, dhe secila prej tyre ka një pasojë për privatësinë.
| Reuse rule | What it buys | What it leaks |
|---|---|---|
| Single use per connection | Strongest unlinkability between sessions | Frequent reissuance, more purchase-to-use timing pairs |
| Bounded time window | Fewer tokens, reconnects work | Activity inside the window is linkable |
| Long-lived grant | Operationally simple | Behaves like an account reference with extra steps |
Zgjidhni një me qëllim dhe shkruani pranë saj sjelljen në dështim. Një klient që provon përsëri me një të drejtë të re pas një afati kohor konsumon një njësi tjetër, që është njëkohësisht befasi faturimi dhe sinjal privatësie.
Shkruani politikën e ripërdorimit dhe të revokimit
Revokimi është vendi ku dizajnet anonime zakonisht e thyejnë premtimin e tyre. Anulimi i një abonimi dhe pavlefshmëria e shenjave të lëshuara tashmë janë operacione të ndryshme, dhe një portë që bën në heshtje një kërkim llogarie për të vendosur nuk është më anonime në atë pikë.
Zgjidhni një skadim, një kufi lëshimi dhe një histori revokimi që përshtaten së bashku. Pastaj kontrolloni regjistrat e vetë portës për fusha që rikthejnë lidhjen që hoqët.
sudo grep -rIl --include='*.log' -e 'Bearer ' -e 'account_id' /var/log/vpn/
Ai kërkim liston skedarë log që përmbajnë fusha shenje ose llogarie, që është vendi i parë ku një dizajn i kujdesshëm rrjedh në praktikë. Një regjistër sesioni që ruan vlerën e shenjës pranë një identifikuesi llogarie e shkatërron të gjithë ndërtimin, dhe zakonisht vjen përmes një ndryshimi korrigjimi që askush nuk u kthye ta shihte.
Përcaktoni gjithashtu çfarë mban porta pasi mbaron një sesion. Kohëzgjatja, bajtët dhe pika fundore janë të dobishme për operacionet, dhe secili prej tyre është një pjesë e enigmës që një vëzhgues do të donte ta kishte. Mbani periudhën e ruajtjes të shkurtër dhe listën e fushave të shkurtër, pastaj rishikoni të dyja kur një ndryshim korrigjimi shton një kolonë. Askush nuk e vëren një fushë të re log derisa të ketë qenë aty për një vit.
Formuloni pohimin, pastaj vëzhgimet që mbeten
Shkruani pohimin e privatësisë në një fjali me supozimet e tij: cila palë duhet të jetë e paaftë të lidhë cilat kontekste, dhe çfarë ndodh nëse lëshuesi dhe porta krahasojnë shënimet. Një dizajn që i mbijeton asaj fjalie është i rishikueshëm; një që përshkruhet vetëm si «njohuri zero» nuk është.
Pastaj renditni çfarë mbetet e dukshme pavarësisht nga gjithçka. Adresat burimore, kohët e lidhjeve, madhësitë e paketave dhe fakti i thjeshtë që një blerje ndodhi pak përpara se të shfaqej lidhja e vetme e re janë të gjitha jashtë kriptografisë. Një klient i vetëm që blen një njësi dhe lidhet një herë mund të lidhet vetëm nga koha, dhe asnjë dizajn shenje nuk e ndryshon këtë.
Rezultati i ndershëm është një lidhje më e ngushtë mes llogarisë dhe përdorimit, jo një sesion i padukshëm. Vlen ende të ndërtohet, për sa kohë dokumentacioni e thotë këtë dhe regjistrat operativë përputhen me pohimin.