Cổng VPN được chuyển tiếp: khách truy cập và nhà cung cấp có thể thấy gì

Chuyển tiếp một cổng cho người lạ một lộ trình tới dịch vụ qua địa chỉ công khai của nhà cung cấp. Thay đổi duy nhất đó tác động đồng thời đến mức độ phơi bày và khả năng nhận diện, và cả hai đều không công bố tên của người điều hành dịch vụ. Giữ hai điều tách biệt tránh được hai sai lầm đối lập là coi 'chuyển tiếp' là ẩn danh và coi đó là nhận dạng. Ba câu hỏi tách chúng rõ ràng, và câu trả lời đến từ những bằng chứng khác nhau.

Ba đối tượng, ba câu hỏi khác nhau

Giữ địa chỉ công khai tách khỏi ứng dụng đáp lại phía sau nó, và giữ cả hai tách khỏi người hoặc tổ chức điều hành thứ đó. Mỗi bên có khán giả riêng và bằng chứng riêng. Trộn lẫn chúng tạo ra những kết luận nghe có vẻ gọn gàng nhưng sai.

Đi qua chúng theo thứ tự đó. Câu thứ nhất là câu hỏi về khả năng tiếp cận, câu thứ hai là câu hỏi về danh tính ứng dụng, còn câu thứ ba là câu hỏi về quy kết mà hai câu đầu chỉ làm sáng tỏ một phần. Khi ai đó hỏi chuyển tiếp cổng có riêng tư không, hãy hỏi họ muốn nói đến câu nào trong ba câu. Câu trả lời thực sự khác nhau, và một trang chính sách thường chỉ đề cập đến một trong số đó.

Khách truy cập có thể liên kết gì giữa các điểm cuối

Khách truy cập kết nối tới điểm cuối và thấy những gì ứng dụng trình bày một cách hợp pháp: 'tên máy chủ', tên chứng chỉ, trang đăng nhập, nội dung đã công bố. Những chi tiết đó nhận diện dịch vụ ngay cả khi địa chỉ truy cập thông thường của nó bị ẩn sau đường hầm. Hai điểm cuối trình bày cùng một trang web có tên giống nhau cho người quan sát cơ sở để liên kết chúng. Không có gì trong hành vi đó là rò rỉ, vì ứng dụng được thiết kế để được nhìn thấy.

Sự khớp nhau của chứng chỉ, chuyển hướng và nội dung trang giữa hai điểm cuối là dấu hiệu mạnh cho thấy chúng thuộc cùng một dịch vụ. Đó vẫn là một phát biểu về dịch vụ, không phải về con người, cho đến khi một bản ghi khác liên kết hai bên.

Hướng dẫn về quyền riêng tư của IETF mô tả cách các định danh lâu bền cho phép tương quan các tương tác theo thời gian. Tương quan không phải quy kết, vì nhiều người có thể quản trị một dịch vụ và một địa chỉ có thể chuyển giữa những thuê bao không liên quan. Chính sự phân biệt đó ngăn một phát hiện tương quan trở thành một lời buộc tội.

Nhà cung cấp chuyển tiếp cần biết gì

Để phân phối một kết nối đầu vào, hệ thống của nhà cung cấp phải giữ mối quan hệ đang hoạt động giữa điểm vào công khai và đích nội bộ. Sự thật vận hành đó khác với điều khách truy cập thấy, và lại khác với điều nhà cung cấp chọn lưu giữ. Hãy tách hai câu hỏi khi đọc một trang chính sách, vì một điều là không thể tránh và điều kia là một quyết định. Một tuyên bố rằng không lưu lịch sử duyệt web không nói gì về lịch sử ánh xạ.

Việc các ánh xạ lịch sử, liên kết tài khoản hay bản ghi kết nối có tồn tại hay không là câu hỏi dành cho chính sách và cách triển khai thực tế của nhà cung cấp. Chuyển tiếp không chứng minh rằng mọi hạng mục đều được ghi lại. Hãy hỏi cụ thể trường nào còn lại sau khi rút ánh xạ, và trong bao lâu.

Khả năng tiếp cận đầu vào cũng tách khỏi định tuyến đầu ra của ứng dụng khách, DNS và hành vi khi lỗi. Thêm một ánh xạ không mô tả phần lưu lượng còn lại của ứng dụng khách đi ra thế nào.

Ánh xạ kéo dài bao lâu sẽ thay đổi mức độ phơi bày

Một ánh xạ có thể tồn tại trong một phiên, cho một lần đặt trước, hoặc theo chính sách của nhà cung cấp làm thay đổi nó. Không nên giả định cả việc gán cố định lẫn việc luân chuyển liên tục; hãy đọc hành vi được ghi trong tài liệu của sản phẩm và ghi lại điều bạn quan sát. Hai lần quan sát cách nhau một tuần nói về 'luân chuyển' nhiều hơn bất kỳ câu tiếp thị nào trên trang sản phẩm. Ghi khoảng thời gian quan sát bên cạnh điểm cuối trong ghi chú của bạn, vì khoảng thời gian là một phần của mức độ phơi bày.

Tuổi thọ thay đổi việc tương quan nào là khả thi. Một điểm cuối ổn định mời gọi theo dõi dài hạn một dịch vụ, trong khi một điểm cuối luân chuyển khiến mỗi lần quan sát khó nối với lần trước hơn. Không tính chất nào là bảo đảm về các bản ghi của nhà cung cấp, và không tính chất nào thay thế quyết định về những gì chính dịch vụ công bố.

Hãy công bố một cách có chủ đích, rồi đóng cả hai cánh cửa

Xác nhận rằng nhà cung cấp cho phép giao thức bạn cần, rằng trình lắng nghe đích là thứ bạn định, và rằng các kiểm soát máy chủ và ứng dụng vẫn giới hạn truy cập. Trước khi công bố, hãy xem dịch vụ sẽ trình bày gì với một người lạ. Hai lệnh này hiển thị chứng chỉ và các tiêu đề mà khách truy cập nhận được.

openssl s_client -connect pub.example.net:443 -brief < /dev/null
curl -sSI https://pub.example.net/

Công bố một thứ không biện minh cho việc phơi bày các trang quản trị của nó hoặc bỏ mặc đăng nhập của ứng dụng, và bản dịch không cung cấp TLS cho một dịch vụ chưa bao giờ có. Hãy giữ giao thức mã hóa và các kiểm tra danh tính máy chủ tại chỗ, bất kể lưu lượng đến theo cách nào. Sau đó kiểm tra các tiêu đề phản hồi, vì một 'banner' hay trang gỡ lỗi có thể nói với người lạ nhiều hơn mức dịch vụ dự định. Điều hai lệnh trả về chính là góc nhìn mà người quan sát nhận được.

Ngừng dịch vụ nghĩa là hai lần đóng, không phải một: rút ánh xạ qua chủ sở hữu của nó, rồi xử lý trình lắng nghe và quyền như hai mục riêng. Một điểm cuối đã đánh dấu mà ngừng phản hồi không thu hồi thông tin xác thực và không lấy lại thông tin đã được giao.