Herkese açık bir VPN ana bilgisayar adı neyi kanıtlayabilir ve neyi kanıtlayamaz

Bir ana bilgisayar adı bir uç noktayı gösterir ve biraz daha fazlasını. Protokolü, çıkış konumunu veya operatörün saklama politikasını hiçbir günde kanıtlamaz.

Ana bilgisayar adları ve ülke bayrakları bir sunucu hakkında gerçekler gibi görünür, ve ikisi de değildir. Bir ad, değişebilen adreslere işaret eder ve içindeki kelimeleri onu kaydeden seçmiştir. Protokol, çıkış konumu ve günlükleme davranışı her biri kendi kanıtını gerektirir. Adın gerçekte neye çözüldüğüyle başlayın, sonra neyin hâlâ bilinmediğine karar verin.

Ad çözülür, başka hiçbir şey kesinleşmez

Bir ana bilgisayar adı DNS içinde bir işaretçidir ve arkasındaki kayıtlar çözümleyiciye göre, günün saatine göre ve istemcinin tercih ettiği adres ailesine göre farklılık gösterebilir. Aynı dizin girdisini okuyan iki kişi yasal olarak farklı makinelere ulaşabilir. Ad, ne sorulacağını söyler, neyin yanıtlayacağını değil.

Arama sonuçları da bildirim olmadan değişir, bu da bir profil ad yerine bir adresi sabitlediğinde önemlidir. Eski adresi sabit kodlayan profil, operatör hizmeti taşıdıktan sonra da başarısız olmaya devam eder ve hata engellenmiş bir bağlantı noktası gibi görünür. Çözülen adresleri profilin yanında tutun ki sonraki karşılaştırmanın bir temeli olsun. Bunların hiçbiri diğer ucu kimin işlettiğini söylemez.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

Taşıma ve kimlik ayrı sorulardır

Ana bilgisayar adında açık bir web sayfası bir bağlantı noktasında bir dinleyiciyi test eder. OpenVPN, IPsec ve SSTP başka yerlerde, kendi bağlantı noktalarında ve protokollerinde dinler, bu yüzden erişilebilir bir web sunucusu onlar hakkında hiçbir şey söylemez.

Dizin girdisi ve profil taşıma, bağlantı noktası ve kimlik bilgileri konusunda anlaşmalıdır. Kimlik, istemcinin yapılandırıldığı sertifika zinciri veya karşı taraf anahtarının parmak izi ile doğrulanır, ana bilgisayar adının yazımıyla değil. Bilinen bir proje kelimesi içeren ad, yalnızca birinin onu kaydettiğini kanıtlar. Hizmetin sunduğu sertifikayı okuyun ve vereni ve konuyu profilin beklediğiyle karşılaştırın.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

Ülke kelimeleri konum denetimi değildir

Bir dizinde jp veya de etiketi bir kayıttır ve IP coğrafi konum veritabanları yeterince sık uyuşmaz, bu yüzden hiçbiri mutlak gerçek olarak görülmemelidir. Paylaşılan barındırma, anycast ve basit yanlış yapılandırma hepsi gözlenen konumu etiketten uzaklaştırır.

Pratik test uygulamanın kendi yoludur: hangi adrese ulaştığı ve oturumun içinden çıkış adresi denetiminin ne gösterdiği. Gözlenen çıkış adresi o andaki rotanın bir özelliğidir, ada bağlı bir garanti değil. Gönüllü dizinleri bir katman daha ekler, çünkü bir kaydı kaydeden kişi makineyi işleten kişi olmak zorunda değildir. Neyi ne zaman ölçtüğünüzü yazın, kaydın vaat ettiğini değil.

Sunulan hizmeti, sonra operatörü denetleyin

Taşıma ve kimlik belirlendikten sonra geriye kalan soru operatörün davranışıdır ve bu, çıkarım yerine belgesel kanıt gerektirir. Gizlilik politikası, yayımlanmış iletişim ve şeffaflık bildirimi niyetin kanıtıdır; hiçbiri uygulamayı kanıtlamaz ve üçünün de yokluğu da bilgidir.

Herkese açık veya gönüllülerce işletilen bir düğüm için çıkışın paylaşıldığını ve onu işletenin nelerin geçtiğini görebildiğini varsayın. Tünelden ne göndereceğinize ana bilgisayar adı değil, bu varsayım karar vermelidir.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

Adı iyi olduğu iş için saklayın: bir uç nokta bulmak ve ona bağlanmak. Bunun ötesindeki her şey ayrıca test edilmelidir, önemli olduğu gün.

İlgili makaleler