Yönlendirilen VPN bağlantı noktası: ziyaretçilerin ve sağlayıcının görebildikleri

Bir bağlantı noktasını yönlendirmek, yabancılara sağlayıcının genel adresi üzerinden bir hizmete yol verir. Bu tek değişiklik hem açıklığı hem de tanınabilirliği aynı anda etkiler ve ikisi de hizmeti işleten kişinin adını yayımlamaz. İkisini ayrı tutmak, 'yönlendirmeyi' anonimlik olarak görmek ve onu kimlik olarak görmek gibi karşıt hatalardan kaçınır. Üç soru onları temiz biçimde ayırır ve yanıtlar farklı kanıtlardan gelir.

Üç nesne, üç farklı soru

Genel adresi, arkasında yanıt veren uygulamadan ayrı tutun ve ikisini de bu işi yürüten kişi veya kuruluştan ayrı tutun. Her birinin kendi kitlesi ve kendi kanıtı vardır. Bunları karıştırmak, düzenli kulağa gelen ve yanlış olan sonuçlar üretir.

Bunları bu sırayla ele alın. Birincisi erişilebilirlik sorusu, ikincisi uygulama kimliği sorusu, üçüncüsü ise ilk ikisinin yalnızca kısmen aydınlattığı atıf sorusudur. Biri bağlantı noktası yönlendirmesinin özel olup olmadığını sorduğunda, üçünden hangisini kastettiğini sorun. Yanıtlar gerçekten farklıdır ve bir ilke sayfası genellikle yalnızca birini ele alır.

Bir ziyaretçinin uç noktalar arasında bağlayabileceği şeyler

Ziyaretçi uç noktaya bağlanır ve uygulamanın meşru biçimde sunduğunu görür: 'bir ana bilgisayar adı', bir sertifika adı, bir oturum açma sayfası, yayımlanmış içerik. Bu ayrıntılar, olağan erişim adresi tünelin arkasında gizli olsa bile hizmeti tanımlar. Aynı adlı siteyi sunan iki uç nokta, gözlemcilere bunları bağlamak için bir temel verir. Bu davranışta hiçbir sızıntı yoktur, çünkü uygulama görülmek üzere tasarlanmıştır.

İki uç nokta arasında sertifikaların, yönlendirmelerin ve sayfa içeriğinin eşleşmesi, bunların tek bir hizmete ait olduğuna dair güçlü bir işarettir. Başka bir kayıt ikisini birleştirinceye kadar bu, hizmet hakkında bir ifade olarak kalır, insan hakkında değil.

IETF'nin gizlilik yönergeleri kalıcı tanımlayıcıların etkileşimlerin zaman içinde ilişkilendirilmesine nasıl olanak tanıdığını açıklar. İlişkilendirme atıf değildir, çünkü tek bir hizmeti birkaç kişi yönetebilir ve bir adres ilgisiz aboneler arasında taşınabilir. Bir ilişkilendirme bulgusunun suçlamaya dönüşmesini engelleyen şey tam da bu ayrımdır.

Yönlendirme sağlayıcısının bilmesi gerekenler

Gelen bir bağlantıyı teslim etmek için sağlayıcının sistemi, genel giriş noktası ile iç hedef arasındaki etkin ilişkiyi tutmak zorundadır. Bu operasyonel gerçek, bir ziyaretçinin gördüğünden farklıdır ve sağlayıcının saklamayı seçtiğinden de yeniden farklıdır. Bir ilke sayfası okurken iki soruyu ayrı tutun, çünkü biri kaçınılmazdır, diğeri ise bir karardır. Tarama geçmişinin saklanmadığı ifadesi, eşleme geçmişi hakkında hiçbir şey söylemez.

Geçmiş eşlemelerin, hesap ilişkilerinin veya bağlantı kayıtlarının kalıp kalmadığı sağlayıcının gerçek ilkesine ve uygulamasına ilişkin bir sorudur. Yönlendirme her kategorinin günlüğe alındığını kanıtlamaz. Özellikle eşleme geri çekildikten sonra hangi alanların kaldığını ve ne kadar süre kaldığını sorun.

Gelen erişilebilirlik, istemcinin giden yönlendirmesinden, DNS'ten ve hata davranışından da ayrıdır. Bir eşleme eklemek, istemcinin geri kalan trafiğinin nasıl çıktığını açıklamaz.

Eşlemenin ne kadar sürmesi açıklığı değiştirir

Bir eşleme bir oturum boyunca, bir rezervasyon için veya onu değiştiren bir sağlayıcı ilkesi kapsamında sürebilir. Ne kalıcı atama ne de sürekli döndürme varsayılmalıdır; ürünün belgelenmiş davranışını okuyun ve gözlemlediğinizi not edin. Bir hafta arayla yapılan iki gözlem, 'döndürme' hakkında ürün sayfasındaki herhangi bir pazarlama cümlesinden daha fazlasını söyler. Gözlenen aralığı notlarınızda uç noktanın yanına yazın, çünkü aralık açıklığın bir parçasıdır.

Ömür, hangi ilişkilendirmenin mümkün olduğunu değiştirir. Kararlı bir uç nokta tek bir hizmetin uzun vadeli izlenmesini davet eder, dönen bir uç nokta ise her gözlemi bir öncekine bağlamayı zorlaştırır. İki özellikten hiçbiri sağlayıcının kayıtlarına dair bir garanti değildir ve hiçbiri hizmetin kendisinin ne yayımladığına dair kararın yerini tutmaz.

Bilinçli olarak yayımlayın, sonra iki kapıyı da kapatın

Sağlayıcının ihtiyaç duyduğunuz protokole izin verdiğini, hedef dinleyicinin amaçladığınız kişi olduğunu ve ana bilgisayar ile uygulama denetimlerinin erişimi hâlâ sınırladığını doğrulayın. Yayımlamadan önce hizmetin bir yabancıya ne sunacağına bakın. Bu iki komut, bir ziyaretçinin aldığı sertifikayı ve başlıkları gösterir.

openssl s_client -connect pub.example.net:443 -brief < /dev/null
curl -sSI https://pub.example.net/

Bir şeyi yayımlamak, onun yönetim sayfalarını açığa çıkarmayı veya uygulamanın oturum açmasını bırakmayı haklı çıkarmaz ve çeviri, hiç sahip olmadığı bir hizmete TLS sağlamaz. Trafik nasıl gelirse gelsin şifreli protokolü ve sunucu kimliği denetimlerini yerinde tutun. Ardından yanıt başlıklarını kontrol edin, çünkü bir 'banner' veya hata ayıklama sayfası bir yabancıya hizmetin amaçladığından fazlasını söyleyebilir. İki komutun döndürdüğü şey, bir gözlemcinin elde ettiği aynı görünümdür.

Hizmeti kullanımdan kaldırmak iki kapatma demektir, bir değil: eşlemeyi sahibi aracılığıyla geri çekin, ardından dinleyiciyi ve hakkı ayrı kalemler olarak ele alın. Yer imlerine eklenmiş bir uç nokta yanıt vermeyi bıraktığında bir kimlik bilgisini iptal etmez ve zaten iletilmiş bilgileri geri getirmez.