VPN operatori qaysi saytlarga kirganingizni ko‘ra oladimi?

VPN nima ko‘ra olishini so‘rang, javob esa yo‘lda qayerda turganingizga bog‘liq. Sessiya qatlamida operatorning autentifikatsiya hodisalari va bayt hisoblari bor. Paket qatlamida manzil va vaqt bor. DNS qatlamida nomlarning o‘zi bo‘lishi mumkin. Har bir qatlam boshqa savolga javob beradi va hech bir kalit sizni ular orasida ko‘chirmaydi.

Da‘vo qilishdan oldin qatlamni aniqlang

Bir xil ulanish har bir nuqtada boshqacha yozuv yaratadi, maxfiylik haqidagi gap esa faqat shu nuqtani nomlaganda ma’noga ega. Jadvalni ustun-ustun o‘qing: o‘sha qatlamda nima bor, operator u yerda nima ko‘ra oladi va o‘sha yozuvlar hali nima deya olmaydi.

Bitta qatlamni to‘liq manzara sifatida o‘qish ham ortiqcha da’volarning, ham yolg‘on xotirjamlikning boshlanishidir. Brauzer tarixini qayd etmayman degan provayder URL yozuvida to‘g‘ri bo‘lishi mumkin, lekin sessiya yozuvlarini saqlab qolishi mumkin; faqat manzillarni ko‘rsatuvchi paket yozuvi esa teskari qidiruv va taxminsiz brauzer tarixiga aylanmaydi.

Siyosatni baholaganda har bir qatlamni tavsiflovchi gapni toping. Agar siyosat ularni ajratmasa, shifrlash haqidagi umumiy gapni qabul qilish o‘rniga qanday yozuvlar borligini so‘rang.

Sessiya ro‘yxati: oddiy OpenVPN serveri nima saqlaydi

Odatiy holatda OpenVPN serveri trafikni yozmaydi. Oddiy chiqish sessiya ro‘yxatidir: qaysi hisob autentifikatsiyadan o‘tdi, qaysi manba manzilidan keldi, boshlanish va tugash vaqt belgilari, berilgan tunnel manzili va ikki yo‘nalishdagi jami baytlar. Bu sessiyalar ro‘yxati, manzillar ro‘yxati emas.

Jurnal parametrlari tafsilot qo‘shishi mumkin. Yuqori tafsilot darajasi qo‘l berish haqida ko‘proq yozadi, holat fayli ulangan mijozlarni sanab o‘tishi mumkin, lekin ikkalasi ham serverni shaffof proksiga aylantirmaydi. URL hosil qilish uchun TLSni tugatish yoki aniq proksi ishga tushirish kerak, ikkalasi ham yashirin funksiyani yoqish o‘rniga ishonch tuzilmasini o‘zgartiradi.

Shuning uchun brauzer jurnali yo‘q degan da’vonining aniq varianti eshitilganidan torroq. Server sahifani bilmaydi, lekin sessiya bo‘lganini va undan taxminan qancha ma’lumot o‘tganini biladi. O‘sha sessiya yozuvi saqlanadimi va qancha vaqt — bu alohida siyosat masalasi.

Ichki va tashqi paketlar turlicha dalil

Paket yozuvi tunnel orqali aslida nima o‘tishini ko‘rish usulidir. Serverda tunnel interfeysini nomlang va keyin oflayn tahlil qilish mumkin bo‘lgan faylga yozing:

sudo tcpdump -ni tun0 -w /tmp/tun.pcap
sudo tcpdump -r /tmp/tun.pcap -nn | head

Bu faylda shifri ochilgan ichki trafik bor: manba sifatida mijozning tunnel manzili, manzil va port, paket o‘lchamlari va vaqt. Agar biror joyda TLS tugatilmagan bo‘lsa, unda HTTP yo‘li yoki javob tanasi yo‘q, va bu nozik ma’lumot, uni saqlash disk raskadrovka qulayligi emas, siyosat qarori.

Jismoniy interfeysdagi yozuv boshqa narsani ko‘rsatadi. U yerda VPN oxirgi nuqtasiga yuborilgan tashqi paketlar ko‘rinadi, ichida shifrlangan yuk bor. Virtual adapter mavjud bo‘lganda o‘sha faylda aloqasiz manzillar ko‘rinishi normal, chunki tunnel qurilmasi ichki oqimlarni, shifrlangan transport esa tashqi oqimlarni olib yuradi.

Yozuv qaysi savolga javob berishi kerakligini so‘rang. Ilovaning tunneldan foydalanishi virtual adapterda ko‘rinadi; tunnelning oxirgi nuqtagacha yetib borishi jismoniy adapterda ko‘rinadi. Har qaysi faylni to‘liq manzara sifatida ishlatish ma’lumotlar qo‘llab-quvvatlay olmaydigan xulosalar beradi.

DNS — nomlar ko‘rinadigan joy

DNS amaliy istisno bo‘lib qoladi. Hal qiluvchi o‘zidan hal qilish so‘ralgan nomlarni ko‘radi, shuning uchun uni boshqargan kishi keyingi ulanishlar shifrlangan bo‘lsa ham mijoz qaysi saytlarni qidirayotganini biladi. Tunnel yozuvi manzillarni ko‘rsatadi; hal qiluvchi nomlarni ko‘rsatadi.

Hal qiluvchi tashqi xizmatga qaysi manzil bilan yetib kelganini tekshiring. Javob hal qiluvchining chiqish manzili, uni VPN chiqishi bilan solishtirish so‘rov tunneldan o‘tgan-o‘tmaganini ko‘rsatadi:

dig +short myip.opendns.com @resolver1.opendns.com
dig example.com
sudo tcpdump -ni any udp port 53

Agar bu manzil tunnel chiqishi bilan emas, mahalliy ulanish bilan mos kelsa, qidiruv VPNni chetlab o‘tgan va nom mahalliy yo‘lda ko‘rinib turgan. Mijoz yangilanganidan keyin tekshiruvni takrorlang, chunki yangi versiya profil qaysi hal qiluvchini o‘rnatishini o‘zgartirishi mumkin.

Shifrlangan DNS ko‘rinishni olib tashlamaydi, ko‘chiradi. Tarmoq endi so‘rovni ko‘rmaydi, lekin hal qiluvchi hali ham ko‘radi, ishonch masalasi esa faqat qo‘l almashtiradi. Ulanishning qo‘l berishidagi TLS server nomi yana bir qisman signal: yuk noaniq bo‘lganda ham u ko‘pincha saqlanib qoladi, shuning uchun manzillar uzatuvchi server kuzata oladigan yagona metama’lumot emas.

Uch turdagi yozuv va ularni kim o‘qiy oladi

Sessiya hisobi, nom bo‘yicha yozuvlar va oqish dalillari uch xil majburiyatga ega uch xil mahsulotdir. Sessiya jurnallari arzon va kam nozik, ular kim qachon ulanganini aytadi. Nom bo‘yicha yozuvlar qayd etuvchi hal qiluvchi yoki aniq proksi talab qiladi va ta’sirlangan odamlar oldida oshkor qilish majburiyatini yaratadi. Oqish dalili — hal qiluvchi oshkor qilganini tunnel chiqishi bilan solishtiradigan mijoz tomonidagi tekshiruv.

Bu uchtadan qaysi birini yuritayotganingizni, uni kim o‘qiy olishini va qancha vaqt saqlanishini yozib qo‘ying. Xizmat jurnal saqlamaydi degan gaplar bitta qatlamni tavsiflaydi va faqat shu doirada to‘g‘ri qoladi. Bir provayder sessiyalar bo‘yicha aniq, DNS bo‘yicha esa xato bo‘lishi mumkin.

Tekshiruvni takrorlash mumkin bo‘lgan holatda saqlang: o‘sha hal qiluvchi so‘rovi, o‘sha yozuv interfeysi va o‘sha solishtirish. Nomlangan qatlamda tekshirib bo‘lmaydigan maxfiylik da’vosi — shior, amaliy fakt emas.