Çfarë mund dhe çfarë nuk mund të provojë një regjistër VPN për shfletimin

Para se të zgjidhni një mbledhës regjistrash, vendosni cilën ngjarje duhet të vërtetojë auditimi. Pyetja se cili sesion VPN kontaktoi një adresë destinacioni është ndryshe nga pyetja se cili person hapi një faqe të caktuar. Të dyja kërkojnë regjistrime të ndryshme, bashkime të ndryshme dhe nivele besimi të ndryshme. Një regjistër lidhjeje OpenVPN përgjigjet për të parën dhe nuk mund të përgjigjet për të dytën.

Emërtoni ngjarjen para se të zgjidhni një mbledhës

Një regjistrim sesioni tregon një identitet të pranuar, një kohë fillimi dhe fundi dhe një adresë që serveri e caktoi sipas politikës së vet. Regjistri i një zgjidhësi tregon se një emër u pyet në atë zgjidhës. Një regjistrim rrjedhe tregon adresa, porta, protokoll dhe kohë, dhe një regjistër aplikacioni tregon transaksionin që ai aplikacion trajtoi në të vërtetë. Asnjë prej këtyre katër nuk zëvendëson një tjetër.

Secili prej tyre vërteton një ngjarje dhe i lë të tjerat të hapura. Shkrimi i pyetjes së pari ju pengon të montoni një histori që të dhënat nuk mund ta mbështesin.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

Komanda e parë tregon ngjarjet e sesionit nga ditari i shërbimit. E dyta shtyp listën aktuale të klientëve me adresat e caktuara, që është hartëzimi nga i cili varet një bashkim auditimi. E treta tregon gjendjen e rrjedhës në kohë reale, e dobishme vetëm sa kohë lidhja ekziston.

Një kërkim nuk është një vizitë

Një shfletues i zgjidh emrat në mënyrë spekulative, i ruan përgjigjet në memorje dhe i ripërdor pa pyetur përsëri zgjidhësin e monitoruar. Një emër në regjistrin e një zgjidhësi provon pra një kërkim, jo një vizitë. DNS mbi HTTPS e zgjeron atë boshllëk, sepse një shfletues i konfiguruar për të dërgon pyetjet e tij atje ku regjistruesi juaj i zakonshëm nuk i sheh kurrë.

Adresat e destinacionit nuk janë më të mira vetëm nga vetja. Një adresë mund të presë shumë sajte të palidhura, DNS e kundërt është hamendësim dhe jo rindërtim, dhe një emër hosti i dukshëm gjatë një shtrëngimi duarsh TLS nuk është rruga e kërkesës brenda sesionit të kriptuar.

Për transaksione të sakta ju nevojiten regjistrimet e ngjarjeve të vetë aplikacionit ose një projekt proxy i mbështetur shprehimisht për regjistrim. Një tunel CONNECT i jep proxy-t destinacionin dhe volumin, jo rrugët e faqeve brenda tij. Qasja administrative në rrjet nuk është licencë për të zëvendësuar në heshtje modelin e besimit të aplikacionit.

Bashkoni identitetin dhe kohën para se të emërtoni një person

Një regjistrim rrjedhe që mban një adresë burimore të brendshme nuk do të thotë asgjë derisa ajo adresë të bashkohet me një sesion në të njëjtin moment. Adresat ripërdoren, dhe e njëjta adresë mund t'i ketë përkitur një sesioni tjetër një orë më parë. Caktimi statik është një mënyrë për të mbajtur shoqërimin, jo e vetmja.

Kufijtë e përkthimit e dobësojnë bashkimin edhe më shumë. Nëse disa pajisje ndanin tashmë një adresë burimore para pikës tuaj të vëzhgimit, më e mira që mund të identifikoni është sesioni i portës së përbashkët dhe jo një pajisje e vetme. Një certifikatë ose llogari e përdorur nga disa njerëz ka të njëjtin efekt.

Regjistroni zonat kohore, burimet e orës, pikat e vëzhgimit dhe çdo hap përkthimi. Regjistrimet që mungojnë mund të nënkuptojnë se një hyrje rrjedhe ka skaduar, se një sensor është anashkaluar ose se një regjistër aplikacioni ishte i fikur. Mungesa nuk është provë se nuk ndodhi asgjë.

Më pas përcaktoni fushat minimale, lexuesit e lejuar dhe periudhën e ruajtjes për qëllimin e deklaruar. Korrelacioni dhe atribuimi i gabuar janë çështje projektimi dhe jo një mendim i mëvonshëm, dhe metadata që identifikon njerëz meriton të njëjtën mbrojtje si hartëzimi i identitetit nga i cili varet.

Testoni auditimin me aktivitet që ju kontrolloni

Gjeneroni trafik të lejuar, sesionin dhe aplikacionin e të cilit i dini tashmë, dhe më pas kontrolloni çfarë kapi në të vërtetë secili regjistrim. Bëni një kërkim pa e ngarkuar faqen, ngarkoni një faqe nga memoria dhe hapni një lidhje përmes një proxy, dhe shikoni cilat ngjarje shfaqen.

Raportoni ngjarjen që mbështesin provat dhe thoni çfarë nuk mbulojnë. Një regjistrim i modest me një shtrirje të deklaruar i mbijeton rishikimit; një histori shfletimi ambicioze e ndërtuar nga hamendësime nuk i mbijeton.