สิ่งที่บันทึก VPN พิสูจน์ได้และพิสูจน์ไม่ได้เกี่ยวกับการท่องเว็บ

ก่อนเลือกตัวเก็บรวบรวมบันทึก ให้ตัดสินว่าเหตุการณ์ใดที่การตรวจสอบต้องพิสูจน์ การถามว่าเซสชัน VPN ใดติดต่อที่อยู่ปลายทางเป็นคำถามที่ต่างจากการถามว่าใครเปิดหน้าใดหน้าหนึ่ง ทั้งสองต้องใช้บันทึกต่างกัน การเชื่อมโยงต่างกัน และระดับความเชื่อมั่นต่างกัน บันทึกการเชื่อมต่อ OpenVPN ตอบคำถามแรกและไม่อาจตอบคำถามที่สอง

ตั้งชื่อเหตุการณ์ก่อนเลือกตัวเก็บรวบรวม

บันทึกเซสชันแสดงตัวตนที่ยอมรับ เวลาเริ่มและสิ้นสุด และที่อยู่ที่เซิร์ฟเวอร์กำหนดตามนโยบายของตนเอง บันทึกตัวแก้ไขชื่อแสดงว่ามีการสอบถามชื่อที่ตัวแก้ไขนั้น บันทึกการไหลแสดงที่อยู่ พอร์ต โปรโตคอล และเวลา ส่วนบันทึกแอปพลิเคชันแสดงธุรกรรมที่แอปพลิเคชันนั้นจัดการจริง ทั้งสี่อย่างนี้ไม่มีสิ่งใดแทนกันได้

แต่ละอย่างพิสูจน์เหตุการณ์หนึ่งและปล่อยอย่างอื่นเปิดไว้ การเขียนคำถามไว้ก่อนทำให้คุณไม่ประกอบเรื่องราวที่ข้อมูลไม่สามารถรองรับได้

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

คำสั่งแรกแสดงเหตุการณ์เซสชันจากบันทึกของบริการ คำสั่งที่สองพิมพ์รายการไคลเอนต์ปัจจุบันพร้อมที่อยู่ที่กำหนด ซึ่งเป็นการจับคู่ที่การเชื่อมโยงในการตรวจสอบพึ่งพา คำสั่งที่สามแสดงสถานะการไหลแบบสด ซึ่งมีประโยชน์เพียงขณะที่การเชื่อมต่อยังอยู่

การค้นหาไม่ใช่การเยี่ยมชม

เบราว์เซอร์แก้ไขชื่อแบบคาดเดา เก็บคำตอบไว้ในแคชและนำกลับมาใช้โดยไม่ถามตัวแก้ไขที่ถูกตรวจสอบอีกครั้ง ดังนั้นชื่อในบันทึกตัวแก้ไขจึงพิสูจน์การค้นหา ไม่ใช่การเยี่ยมชม DNS บน HTTPS ทำให้ช่องว่างนี้กว้างขึ้น เพราะเบราว์เซอร์ที่ตั้งค่าไว้จะส่งคำถามไปยังที่ที่ตัวบันทึกปกติของคุณไม่เคยเห็น

ที่อยู่ปลายทางไม่ได้ดีกว่าโดยตัวเอง ที่อยู่หนึ่งสามารถโฮสต์หลายไซต์ที่ไม่เกี่ยวข้องกัน DNS ย้อนกลับเป็นการคาดเดาไม่ใช่การสร้างใหม่ และชื่อโฮสต์ที่มองเห็นระหว่างการจับมือ TLS ไม่ใช่เส้นทางคำขอภายในเซสชันที่เข้ารหัส

สำหรับธุรกรรมที่แม่นยำคุณต้องมีบันทึกเหตุการณ์ของแอปพลิเคชันเอง หรือการออกแบบพร็อกซี่ที่ได้รับการสนับสนุนอย่างชัดเจนสำหรับการบันทึก อุโมงค์ CONNECT ให้พร็อกซี่รู้ปลายทางและปริมาณ ไม่ใช่เส้นทางหน้าเว็บภายใน การเข้าถึงเครือข่ายในฐานะผู้ดูแลไม่ใช่ใบอนุญาตให้แทนที่รูปแบบความเชื่อถือของแอปพลิเคชันอย่างเงียบ ๆ

เชื่อมโยงตัวตนและเวลาก่อนระบุตัวบุคคล

บันทึกการไหลที่มีที่อยู่ต้นทางภายในไม่มีความหมายจนกว่าที่อยู่นั้นจะเชื่อมโยงกับเซสชันในเวลาเดียวกัน ที่อยู่ถูกนำกลับมาใช้ใหม่ และที่อยู่เดียวกันอาจเป็นของเซสชันอื่นเมื่อหนึ่งชั่วโมงก่อน การกำหนดแบบคงที่เป็นวิธีหนึ่งในการรักษาความเชื่อมโยง ไม่ใช่วิธีเดียว

ขอบเขตการแปลทำให้การเชื่อมโยงอ่อนแอลงอีก หากอุปกรณ์หลายเครื่องใช้ที่อยู่ต้นทางเดียวกันอยู่แล้วก่อนจุดสังเกตของคุณ สิ่งที่ดีที่สุดที่ระบุได้คือเซสชันเกตเวย์ที่ใช้ร่วมกัน ไม่ใช่อุปกรณ์เดียว ใบรับรองหรือบัญชีที่หลายคนใช้ก็มีผลเช่นเดียวกัน

บันทึกเขตเวลา แหล่งนาฬิกา จุดสังเกต และทุกขั้นตอนการแปล บันทึกที่หายไปอาจหมายถึงรายการการไหลหมดอายุ เซ็นเซอร์ถูกข้าม หรือบันทึกแอปพลิเคชันถูกปิด การไม่มีไม่ใช่ข้อพิสูจน์ว่าไม่มีอะไรเกิดขึ้น

จากนั้นกำหนดฟิลด์ขั้นต่ำ ผู้อ่านที่ได้รับอนุญาต และระยะเวลาการเก็บรักษาตามวัตถุประสงค์ที่ระบุ ความสัมพันธ์และการระบุผิดเป็นเรื่องของการออกแบบไม่ใช่ความคิดภายหลัง และข้อมูลเมตาที่ระบุตัวบุคคลสมควรได้รับการคุ้มครองเช่นเดียวกับการจับคู่ตัวตนที่มันพึ่งพา

ทดสอบการตรวจสอบด้วยกิจกรรมที่คุณควบคุม

สร้างทราฟฟิกที่ได้รับอนุญาตซึ่งคุณรู้จักเซสชันและแอปพลิเคชันอยู่แล้ว จากนั้นตรวจสอบว่าแต่ละบันทึกจับอะไรได้จริง ทำการค้นหาโดยไม่โหลดหน้า โหลดหน้าจากแคช และเปิดการเชื่อมต่อผ่านพร็อกซี่ แล้วดูว่าเหตุการณ์ใดปรากฏ

รายงานเหตุการณ์ที่หลักฐานสนับสนุนและบอกว่ามันไม่ครอบคลุมอะไร บันทึกที่พอประมาณพร้อมขอบเขตที่ระบุจะผ่านการทบทวน ประวัติการท่องเว็บที่ทะเยอทะยานซึ่งประกอบจากความคาดเดาจะไม่ผ่าน