A mundet operatori i VPN-së të shohë cilat sajte vizitoni?

Pyetni çfarë mund të shohë VPN-ja dhe përgjigjja varet nga ku qëndroni në rrugë. Në shtresën e sesionit operatori ka ngjarje vërtetimi dhe numërime bajtësh. Në shtresën e paketave ka adresa destinacioni dhe kohë. Në shtresën DNS mund të ketë vetë emrat. Çdo shtresë përgjigjet një pyetjeje tjetër dhe asnjë çelës nuk ju zhvendos mes tyre.

Përcaktoni shtresën përpara se të pohonit diçka

E njëjta lidhje prodhon regjistra të ndryshëm në çdo pikë, dhe një deklaratë për privatësinë ka kuptim vetëm kur e emërton atë pikë. Lexoni tabelën kolonë për kolonë: çfarë ekziston në atë shtresë, çfarë mund të shohë atje një operator dhe çfarë nuk mund të thonë ende të njëjtët regjistra.

Leximi i një shtrese si pamja e plotë është fillimi i pretendimeve të tepruara dhe i qetësisë së rreme. Një ofrues që thotë se nuk regjistron shfletimin mund të jetë i saktë për regjistrimin e URL-ve dhe gjithsesi të mbajë regjistra sesioni, dhe një kapje paketash që tregon vetëm adresa nuk bëhet histori shfletimi pa kërkime të kundërta dhe hamendësime.

Kur vlerësoni një politikë, gjeni fjalinë që përshkruan çdo shtresë. Nëse politika nuk i ndan ato, pyetni çfarë regjistrash ekzistojnë në vend që të pranoni një deklaratë të përgjithshme për kriptimin.

Inventari i sesioneve: çfarë mban një server OpenVPN i zakonshëm

Si parazgjedhje, një server OpenVPN nuk e kap trafikun. Dalja e zakonshme është një inventar sesionesh: llogaria që u vërtetua, adresa burimore nga erdhi, vulat kohore të fillimit dhe mbarimit, adresa e tunelit e dhënë dhe totalet e bajtëve në secilin drejtim. Ky është inventar sesionesh, jo listë destinacionesh.

Opsionet e regjistrimit mund të shtojnë detaje. Një nivel më i lartë hollësie shkruan më shumë për shtrëngimin e duarve, dhe një skedar statusi mund të listojë klientët e lidhur, por asnjëra nuk e kthen serverin në proxy transparent. Prodimi i URL-ve kërkon përfundimin e TLS ose nisjen e një proxy të qartë, dhe të dyja ndryshojnë rregullimin e besimit në vend që të aktivizojnë një veçori të fshehur.

Prandaj versioni i saktë i pohimit se nuk ka regjistër shfletimi është më i ngushtë sesa tingëllon. Serveri nuk e njeh faqen, por e di se ekzistonte një sesion dhe afërsisht sa të dhëna kaluan nëpër të. Nëse ai regjistër sesioni mbahet, dhe sa kohë, është pyetje e veçantë politike.

Paketat e brendshme dhe të jashtme janë prova të ndryshme

Kapja e paketave është mënyra për të parë çfarë kalon vërtet nëpër tunel. Në server emërtoni ndërfaqen e tunelit dhe shkruani në një skedar që mund të analizohet jashtë linje:

sudo tcpdump -ni tun0 -w /tmp/tun.pcap
sudo tcpdump -r /tmp/tun.pcap -nn | head

Ai skedar përmban trafikun e brendshëm të dekriptuar: adresa e tunelit të klientit si burim, adresa e destinacionit dhe porta, madhësitë e paketave dhe koha. Nuk përmban rrugën HTTP ose trupin e përgjigjes, përveç nëse TLS u përfundua diku, dhe këto janë të dhëna të ndjeshme, mbajtja e të cilave është vendim politike dhe jo lehtësi korrigjimi.

Një kapje në ndërfaqen fizike tregon diçka tjetër. Atje shihni paketa të jashtme drejtuar pikës fundore të VPN-së, me ngarkesën e kriptuar brenda. Adresat e palidhura që shfaqen në atë skedar janë normale kur ekziston një përshtatës virtual, sepse pajisja e tunelit mban rrjedhat e brendshme ndërsa transporti i kriptuar ato të jashtmet.

Pyetni në cilën pyetje duhet të përgjigjet kapja. Përdorimi i tunelit nga një aplikacion duket në përshtatësin virtual; arritshmëria e tunelit deri në pikën fundore duket në atë fizik. Përdorimi i njërit prej skedarëve si pamje e plotë jep përfundime që të dhënat nuk i mbështesin.

DNS është vendi ku emrat bëhen të dukshëm

DNS mbetet përjashtimi praktik. Zgjidhësi sheh emrat që i kërkohet të zgjidhë, kështu që kushdo që e operon mëson cilat sajte kërkon një klient edhe kur lidhjet e mëvonshme janë të kriptuara. Kapja e tunelit tregon adresa; zgjidhësi tregon emra.

Kontrolloni me cilën adresë zgjidhësi arriti një shërbim të jashtëm. Përgjigjja është adresa e daljes së zgjidhësit, dhe krahasimi me daljen e VPN-së tregon nëse kërkesa kaloi nëpër tunel:

dig +short myip.opendns.com @resolver1.opendns.com
dig example.com
sudo tcpdump -ni any udp port 53

Nëse ajo adresë përputhet me lidhjen lokale dhe jo me daljen e tunelit, kërkimi e anashkaloi VPN-në dhe emri ishte i dukshëm në rrugën lokale. Përsëriteni kontrollin pas një përditësimi të klientit, sepse një version i ri mund të ndryshojë cilin zgjidhës instalon profili.

DNS i kriptuar e zhvendos dukshmërinë në vend që ta heqë. Rrjeti nuk e sheh më kërkesën, por zgjidhësi vazhdon ta shohë, dhe çështja e besimit thjesht ndërron duar. Emri i serverit TLS në shtrëngimin e duarve të lidhjes është një sinjal tjetër i pjesshëm: shpesh mbijeton edhe kur ngarkesa është e errët, kështu që adresat e destinacionit nuk janë metadatat e vetme që një server përcjellës mund të vëzhgojë.

Tre lloje regjistrash dhe kush mund t'i lexojë

Kontabiliteti i sesioneve, regjistrat sipas emrit dhe provat e rrjedhjes janë tre produkte të ndryshme me tre detyrime të ndryshme. Regjistrat e sesioneve janë të lirë dhe pak të ndjeshëm, dhe përgjigjen kush u lidh dhe kur. Regjistrat sipas emrit kërkojnë një zgjidhës që regjistron ose një proxy të qartë, dhe krijojnë detyrim zbulimi ndaj njerëzve të prekur. Prova e rrjedhjes është një test në anën e klientit që krahason atë që zbulon zgjidhësi me daljen e tunelit.

Shkruani cilin prej të treve operoni, kush mund ta lexojë dhe sa kohë mbetet. Deklaratat se një shërbim nuk mban regjistra përshkruajnë një shtresë dhe mbeten të vërteta vetëm brenda atij qëllimi. I njëjti ofrues mund të jetë i saktë për sesionet dhe i gabuar për DNS-në.

Mbajeni testin të riprodhueshëm: e njëjta kërkesë te zgjidhësi, e njëjta ndërfaqe kapjeje dhe i njëjti krahasim. Një pohim privatësie që nuk mund të testohet në një shtresë të emërtuar është slogan, jo fakt operacional.