Шта вам временска ознака WireGuard руковања заиста говори

Један ред „последње руковање, пре два минута“ изгледа као доказ непрекидне активности и слабији је од тога. Он означава последњу завршену размену кључева за једног партнера, која се дешава по фиксном тајмеру обнављања кључева док саобраћај тече и престаје када партнер утихне. Да ли то време повезује особу са било чим зависи од идентификатора сачуваних поред њега и од сатова оба система. Ево како се запис понаша у два најчешћа стека и где његово читање греши.

Два записа, два различита значења

WireGuard држи једну временску ознаку руковања по партнеру, замењену при сваком обнављању кључева, плус бројаче бајтова у сваком смеру. OpenVPN обично бележи почетак сесије, прекид везе и све што додаје подешена детаљност, што јединицу записа чини сесијом, а не разменом кључева.

Та разлика одлучује шта значи одсуство:

Зашто руковање није непрекидно коришћење

WireGuard обнавља кључеве отприлике свака два минута док има података које треба заштити, а партнер који постане неактиван једноставно престаје. Зато застарело руковање може значити да лаптоп спава, да је корисник престао да ради или да је мрежа одбацила пакете који би покренули следећу размену. Временска ознака је доња граница активности, а не пратилац пажње.

Обрнута грешка је једнако лака. Стални keepalive саобраћај држи тунел топлим на неактивном уређају, па се скорашње руковање може појавити на машини коју нико није додирнуо сат времена. Бројачи бајтова овде помажу, јер разликују партнера који шаље стварне податке од оног који размењује само keepalive, и кажу који је смер носио обим. Ништа од тога не открива одредиште, страницу или упит.

Идентификатори путују са временском ознаком

Време без налога, јавног кључа или изворне адресе је сироче. Упарите временску ознаку са идентитетом партнера и запажање постаје повезиво: јавни кључ опстаје кроз промене адреса, док изворну адресу може делити много претплатника иза превода адреса оператера.

Та асиметрија је оно што већина расправа о приватности превиди. Адреса изгледа анонимно јер је дељена, а кључ изгледа технички јер је дуг, али стабилни идентификатор је кључ. Задржавање једног поља и одбацивање другог мења ризик корелације без промене привидне прецизности.

Сама корелација је документована брига. Повезивање времена везе са догађајем пријаве код провајдера, са тикетом подршке или са записом о плаћању може повезати идентитет са активношћу чак и када никада није било записано одредиште, и зато је упаривање важније од форматирања.

Корелација међу системима захтева пажњу према сатовима

Два система која извештавају о истом тренутку ретко се слажу до секунде. Један може применити померај временске зоне у свом излазу, други може радити на сату који касни неколико секунди, а виртуелна машина може одступити после суспендовања.

Пре него што закључите да су се два догађаја догодила заједно, претворите оба у исту зону и проверите померај у сировом запису, а не у приказу. Ако је јаз који мерите мањи од вероватног одступања, немате никакав редослед.

Практично правило је да задржите прецизност која је потребна задатку отклањања проблема и ништа више. Број сесија на сат одговара на питање доступности без чувања историје по налогу, а агрегат се може чувати много дуже од сирових редова из којих је настао.

Читајте запис командама, не маштом

Одштампајте поља о којима ћете расуђивати, у јединицама које алат чува, а не у онима које приказује контролна табла.

Ова два реда приказују старост руковања и бројаче бајтова за сваког WireGuard партнера, а затим исту врсту материјала из датотеке стања OpenVPN:

wg show all latest-handshakes
wg show wg0 transfer
cat /run/openvpn/server.status

Упоредите старост са интервалом обнављања кључева пре него што донесете закључак, и читајте бројаче заједно са њом. Партнер са скорашњим руковањем и готово без преноса размењује keepalive, док је партнер са застарелим руковањем и великим бројачима био заузет док није престао. Ниједан ред не каже шта је урађено, и рећи то отворено тачније је од наговештавања да ознака доказује посету.