Да ли плаћени VPN може да ауторизује сесије без вашег налога?
Токени који се не могу повезати могу да раздвоје проверу права приступа од саме сесије. Важан је дизајн издавања и искоришћавања, а не ознака на пријави.
Плаћање тунела не мора да значи да се идентитет платиоца показује при свакој вези. Решење може једном да провери право приступа, да кориснику изда криптографске токене и да пусти гејтвеј да касније прихвати токен без увида у налог иза њега. Да ли то заиста нешто скрива зависи од одлука о издавању и искоришћавању, па то третирајте као вежбу спецификације са четири дела, а не као функцију коју укључујете.
Одвојите корак куповине од корака сесије
Архитектура Privacy Pass из RFC 9576 даје речник: клијент, атестатор, издавалац и извор. Клијент доказује неко својство издаваоцу и прима токене; касније један представља извору, који одлучује да ли ће га послужити. Примењено на VPN, својство које се атестира може бити једна јединица приступа.
Наплата и даље види оно што је потребно њеном процесу, и нико не тврди супротно. Ужи циљ је да се касније искоришћавање не може повезати са куповином која је произвела токен. То је конкретно, проверљиво својство и вреди га записати.
Ниска која изгледа случајно то не даје. Ако издавалац чува вредност уз запис корисника, а гејтвеј може да тражи то пресликавање, две интеракције повезује база података, а не криптографија. Конструкција мора да учини издаваоца неспособним да одговори на то питање, а примена мора да спречи издаваоца и гејтвеј да споје своје погледе.
Одлучите шта један токен ауторизује
„Један токен купује приступ” оперативно не говори готово ништа. Да ли је јединица једна веза, временски лимит или волумен? Може ли клијент који је изгубио одговор да настави исто одобрење? Шта се дешава када се уређај поново повеже током промене мреже? Ти одговори одређују да ли је решење употребљиво, и сваки од њих има последицу по приватност.
| Reuse rule | What it buys | What it leaks |
|---|---|---|
| Single use per connection | Strongest unlinkability between sessions | Frequent reissuance, more purchase-to-use timing pairs |
| Bounded time window | Fewer tokens, reconnects work | Activity inside the window is linkable |
| Long-lived grant | Operationally simple | Behaves like an account reference with extra steps |
Одаберите један намерно и запишите понашање при грешци поред њега. Клијент који после истека времена покуша поново са новим правом троши још једну јединицу, што је истовремено изненађење на рачуну и сигнал о приватности.
Запишите политику поновног коришћења и опозива
Опозив је место где анонимна решења обично прекрше сопствено обећање. Отказивање претплате и поништавање већ издатих токена су различите операције, а гејтвеј који тихо изврши претрагу налога да би одлучио престаје да буде анониман у том тренутку.
Одаберите рок трајања, ограничење издавања и причу о опозиву који се уклапају. Затим проверите сопствене записе гејтвеја на поља која враћају везу коју сте уклонили.
sudo grep -rIl --include='*.log' -e 'Bearer ' -e 'account_id' /var/log/vpn/
Та претрага наводи лог датотеке које садрже поља токена или налога, што је прво место на ком пажљиво решење у пракси процури. Запис сесије који чува вредност токена уз идентификатор налога уништава целу конструкцију, а обично стиже кроз измену за отклањање грешака којој се нико није вратио.
Дефинишите и шта гејтвеј задржава након завршетка сесије. Трајање, бајтови и крајња тачка корисни су за рад, а сваки од њих је део слагалице који би посматрач желео да има. Нека рок чувања и листа поља буду кратки, па прегледајте обоје када измена за отклањање грешака дода колону. Нико не примети ново лог поље док не стоји ту годину дана.
Изнесите тврдњу, а затим запажања која остају
Запишите тврдњу о приватности у једној реченици са њеним претпоставкама: која страна мора да буде неспособна да повеже које контексте и шта се дешава ако издавалац и гејтвеј упореде белешке. Решење које преживи ту реченицу може да се прегледа; оно које се описује само као „нулто знање” не може.
Затим наведите шта остаје видљиво без обзира на све. Изворне адресе, времена веза, величине пакета и једноставна чињеница да се куповина догодила недуго пре појаве једине нове везе све су изван криптографије. Један корисник који купи једну јединицу и повеже се једном може се повезати само по времену, и ниједно решење токена то не мења.
Искрен резултат је ужа веза између налога и коришћења, а не невидљива сесија. То и даље вреди градити, док год документација то каже и оперативни записи одговарају тврдњи.