Je, mwendeshaji wa VPN anaweza kuona tovuti unazotembelea?

Uliza VPN inaweza kuona nini, na jibu linategemea mahali ulipo kwenye njia. Katika tabaka la kipindi mwendeshaji ana matukio ya uthibitishaji na hesabu za baiti. Katika tabaka la pakiti ana anwani za lengo na muda. Katika tabaka la DNS anaweza kuwa na majina yenyewe. Kila tabaka hujibu swali tofauti, na hakuna swichi moja inayokuhamisha kati yao.

Amua tabaka kabla ya kudai kitu

Muunganisho huo huo huzalisha kumbukumbu tofauti katika kila hatua, na kauli kuhusu faragha ina maana tu inapotaja hatua hiyo. Soma jedwali safu kwa safu: ni nini kipo katika tabaka hilo, mwendeshaji anaweza kuona nini hapo, na kumbukumbu hizo hizo bado haziwezi kusema nini.

Kusoma tabaka moja kama picha kamili ni mwanzo wa madai ya kupita kiasi na utulivu wa uongo. Mtoa huduma anayesema harekodi uvinjari anaweza kuwa sahihi kuhusu kurekodi URL lakini bado kuhifadhi kumbukumbu za vipindi, na ukamataji wa pakiti unaoonyesha anwani tu haubadiliki kuwa historia ya uvinjari bila utafutaji wa kinyume na makisio.

Unapotathmini sera, tafuta sentensi inayoelezea kila tabaka. Ikiwa sera haizitenganishi, uliza ni kumbukumbu gani zipo badala ya kukubali kauli ya jumla kuhusu usimbaji fiche.

Orodha ya vipindi: seva ya kawaida ya OpenVPN huhifadhi nini

Kwa kawaida OpenVPN seva haikamati trafiki. Matokeo ya kawaida ni orodha ya vipindi: akaunti iliyothibitisha, anwani ya chanzo iliyotoka, alama za muda za kuanza na kuisha, anwani ya handaki iliyotolewa na jumla ya baiti katika pande zote mbili. Hiyo ni orodha ya vipindi, sio orodha ya maeneo ya kwenda.

Chaguo za uwekaji kumbukumbu zinaweza kuongeza maelezo. Kiwango cha juu cha maelezo huandika zaidi kuhusu kupeana mkono, na faili ya hali inaweza kuorodhesha wateja waliounganishwa, lakini hakuna kinachobadilisha seva kuwa proksi wazi. Kuzalisha URL kunahitaji kumaliza TLS au kuendesha proksi bayana, na zote mbili hubadilisha mpangilio wa uaminifu badala ya kuwasha kipengele cha siri.

Ndio sababu toleo sahihi la dai la hakuna kumbukumbu ya uvinjari ni jembamba kuliko linavyosikika. Seva haijui ukurasa, lakini inajua kipindi kilikuwepo na takriban kiasi gani cha data kilipita ndani yake. Ikiwa kumbukumbu hiyo ya kipindi huhifadhiwa, na kwa muda gani, ni swali tofauti la sera.

Pakiti za ndani na za nje ni ushahidi tofauti

Ukamataji wa pakiti ndio njia ya kuona kinachopita kwenye handaki kwa kweli. Kwenye seva, taja kiolesura cha handaki na uandike kwenye faili inayoweza kuchambuliwa nje ya mtandao:

sudo tcpdump -ni tun0 -w /tmp/tun.pcap
sudo tcpdump -r /tmp/tun.pcap -nn | head

Faili hilo lina trafiki ya ndani iliyofunuliwa: anwani ya handaki ya mteja kama chanzo, anwani ya lengo na bandari, ukubwa wa pakiti na muda. Haina njia ya HTTP au mwili wa jibu isipokuwa TLS ilimalizwa mahali fulani, na hii ni data nyeti ambayo kuhifadhi kwake ni uamuzi wa sera na sio urahisi wa utatuzi.

Ukamataji kwenye kiolesura halisi huonyesha kitu kingine. Hapo unaona pakiti za nje zilizoelekezwa kwenye kituo cha mwisho cha VPN, ndani yake kikiwa na maudhui yaliyosimbwa. Anwani zisizohusiana zinazoonekana katika faili hilo ni za kawaida pindi adapta pepe inapokuwepo, kwa sababu kifaa cha handaki hubeba mitiririko ya ndani wakati usafirishaji uliosimbwa hubeba ule wa nje.

Uliza ukamataji unapaswa kujibu swali gani. Matumizi ya handaki na programu huonekana kwenye adapta pepe; ufikiaji wa handaki hadi kituo cha mwisho huonekana kwenye ile halisi. Kutumia faili lolote kama picha kamili hutoa hitimisho ambalo data haiwezi kulitegemeza.

DNS ndio mahali majina yanapoonekana

DNS inabaki kuwa isipokuwa la kivitendo. Kitatuzi huona majina inayotakiwa kuyatatua, kwa hivyo anayeendesha hupata kujua ni tovuti gani mteja anatafuta hata wakati miunganisho ya baadaye imesimbwa. Ukamataji wa handaki huonyesha anwani; kitatuzi huonyesha majina.

Angalia ni anwani gani kitatuzi kilitumia kufikia huduma ya nje. Jibu ni anwani ya kutoka ya kitatuzi, na kuilinganisha na kutoka kwa VPN huonyesha kama swali lilipitia handaki:

dig +short myip.opendns.com @resolver1.opendns.com
dig example.com
sudo tcpdump -ni any udp port 53

Ikiwa anwani hiyo inalingana na muunganisho wa ndani badala ya kutoka kwa handaki, utafutaji uliikwepa VPN na jina lilionekana kwenye njia ya ndani. Rudia kipimo baada ya sasisho la mteja, kwa sababu toleo jipya linaweza kubadilisha kitatuzi ambacho wasifu husakinisha.

DNS iliyosimbwa huhamisha mwonekano badala ya kuuondoa. Mtandao hauoni swali tena, lakini kitatuzi bado kinaona, na swali la uaminifu hubadilisha mikono tu. Jina la seva ya TLS katika kupeana mkono kwa muunganisho ni ishara nyingine ya kiasi: mara nyingi huendelea kuishi hata maudhui yakiwa hayaeleweki, kwa hivyo anwani za lengo sio metadata pekee ambayo seva ya upelekaji inaweza kuona.

Aina tatu za kumbukumbu na nani anaweza kuzisoma

Uhasibu wa vipindi, kumbukumbu kwa jina na ushahidi wa uvujaji ni bidhaa tatu tofauti zenye majukumu matatu tofauti. Kumbukumbu za vipindi ni za bei ndogo na nyeti kidogo, na hujibu nani aliunganisha na lini. Kumbukumbu kwa jina zinahitaji kitatuzi kinachorekodi au proksi bayana, na huunda jukumu la kufichua kwa watu walioathirika. Ushahidi wa uvujaji ni kipimo cha upande wa mteja kinacholinganisha kile kitatuzi kinafichua na kutoka kwa handaki.

Andika ni kipi kati ya hivi vitatu unachoendesha, nani anaweza kukisoma na hudumu kwa muda gani. Kauli kwamba huduma haihifadhi kumbukumbu zinaelezea tabaka moja, na hubaki kweli ndani ya wigo huo tu. Mtoa huduma huyo huyo anaweza kuwa sahihi kuhusu vipindi na makosa kuhusu DNS.

Weka kipimo kiweze kurudiwa: swali lile lile kwa kitatuzi, kiolesura kile kile cha ukamataji na ulinganisho ule ule. Dai la faragha lisiloweza kupimwa katika tabaka lililotajwa ni kauli mbiu, sio ukweli wa kiutendaji.