Прослеђени VPN порт: шта виде посетиоци и провајдер

Прослеђивање порта даје странцима пут до услуге кроз јавну адресу провајдера. Та једна промена истовремено утиче на изложеност и препознатљивост, а ниједна од њих не објављује име онога ко води услугу. Држање њих две одвојено избегава супротне грешке да се 'прослеђивање' третира као анонимност и да се третира као идентификација. Три питања их чисто раздвајају, а одговори долазе из различитих доказа.

Три објекта, три различита питања

Држите јавну адресу одвојено од апликације која одговара иза ње, а обе одвојено од особе или организације која то води. Свако има своју публику и своје доказе. Њихово мешање даје закључке који звуче уредно и погрешни су.

Прођите их тим редом. Прво је питање доступности, друго је питање идентитета апликације, а треће је питање приписивања које прва два само делимично осветљавају. Када неко пита да ли је прослеђивање порта приватно, питајте које од три мисли. Одговори се заиста разликују, а страница са политиком обично обрађује само један од њих.

Шта посетилац може да повеже између крајњих тачака

Посетилац се повезује са крајњом тачком и види оно што апликација легитимно приказује: 'име домаћина', име сертификата, страницу за пријаву, објављени садржај. Ти детаљи идентификују услугу чак и када је њена уобичајена адреса за приступ скривена иза тунела. Две крајње тачке које приказују исти именовани сајт дају посматрачима основу да их повежу. Ништа у том понашању није цурење, јер је апликација направљена да буде виђена.

Подударање сертификата, преусмерења и садржаја страница између две крајње тачке јак је сигнал да припадају једној услузи. То остаје тврдња о услузи, а не о човеку, све док неки други запис не повеже две.

IETF смернице о приватности описују како трајни идентификатори омогућавају повезивање интеракција током времена. Корелација није приписивање, јер једну услугу може да администрира више људи, а адреса може да се премести између неповезаних претплатника. Управо та разлика спречава да налаз корелације постане оптужба.

Шта провајдер прослеђивања мора да зна

Да би доставио долазну везу, систем провајдера мора да држи активну везу између јавне улазне тачке и унутрашњег одредишта. Та оперативна чињеница разликује се од онога што посетилац види, и опет од онога што провајдер одлучи да задржи. Држите два питања одвојено када читате страницу са политиком, јер једно је неизбежно, а друго је одлука. Тврдња да се историја прегледања не чува не говори ништа о историји мапирања.

Да ли историјска мапирања, повезаност са налогом или записи о вези остају, питање је за стварну политику и имплементацију провајдера. Прослеђивање не доказује да се свака категорија бележи. Питајте конкретно која поља остају након повлачења мапирања и колико дуго.

Долазна доступност је одвојена и од одлазног рутирања клијента, DNS-а и понашања при грешци. Додавање мапирања не описује како остатак клијентовог саобраћаја излази.

Колико дуго мапирање траје мења изложеност

Мапирање може да траје сесију, резервацију или према политици провајдера која га мења. Не треба претпостављати ни трајно додељивање ни сталну ротацију; читајте документовано понашање производа и бележите оно што приметите. Два запажања у размаку од недељу дана говоре више о 'ротацији' од било које маркетиншке реченице на страници производа. Запишите примећени интервал поред крајње тачке у својим белешкама, јер је интервал део изложености.

Животни век мења то која је корелација могућа. Стабилна крајња тачка позива на дугорочно праћење једне услуге, док ротирајућа чини свако запажање теже спојивим са претходним. Ни једна од две особине није гаранција о записима провајдера, и ниједна не замењује одлуку о томе шта сама услуга објављује.

Објавите намерно, па затворите оба врата

Потврдите да провајдер дозвољава протокол који вам је потребан, да је циљни слушалац онај који сте мислили и да контроле домаћина и апликације још ограничавају приступ. Пре објављивања погледајте шта ће услуга приказати странцу. Ове две наредбе показују сертификат и заглавља која посетилац прима.

openssl s_client -connect pub.example.net:443 -brief < /dev/null
curl -sSI https://pub.example.net/

Објављивање нечега не оправдава откривање његових административних страница или напуштање пријаве апликације, а превод не обезбеђује TLS услузи која га никада није имала. Држите шифровани протокол и провере идентитета сервера на месту, без обзира на то како саобраћај пристиже. Затим проверите заглавља одговора, јер 'банер' или страница за отклањање грешака може странцу да каже више него што услуга намерава. Оно што две наредбе враћају је исти поглед који посматрач добија.

Укидање услуге значи два затварања, а не једно: повуците мапирање преко његовог власника, а затим се позабавите слушаоцем и правом као одвојеним ставкама. Крајња тачка у обележивачима која престане да одговара не опозива акредитив и не враћа већ достављене информације.