Open source, комерційний, одноланковий, багатоланковий, мікснет? Різноманіття варіантів збиває з пантелику.
Видатний американський сенатор звернувся до Агентства національної безпеки (NSA) з проханням надати загалу рекомендації щодо найкращих практик використання віртуальних приватних мереж (VPN) для захисту комунікацій від шпигунства з боку іноземних супротивників.
VPN спрямовують увесь інтернет-трафік користувача через зашифроване з’єднання до віддаленого сервера. Така конструкція забезпечує надійну гарантію того, що ніхто між користувачем і сервером не зможе прочитати зашифрований вміст. VPN також дозволяють користувачам приховувати свої IP-адреси від цільових серверів, з якими вони спілкуються. Хоча американські агентства раніше рекомендували використання VPN, жодне з них не надало рекомендацій щодо того, які з них забезпечують належний захист.
У всіх нюансах
Існує низка обмежень, які можуть нівелювати багато захисних механізмів, які, як думають користувачі, їм забезпечують VPN. Наприклад, зашифрований тунель часто припиняється після того, як один сервер розшифровує трафік і надсилає його до кінцевого пункту призначення. Це означає, що розшифрований трафік або IP-адреси відправника та призначення можуть бути доступні для прослуховування зловмисними співробітниками або зловмисниками, які зламують сервер. VPN також не шифрують певні типи метаданих, такі як мітки часу, що дозволяє державам створювати профілі, які можуть бути корисними для збору розвідданих.
З огляду на численні нюанси, існуючі рекомендації щодо використання VPN не надають достатньо інформації для прийняття обґрунтованих рішень. Сенатор Рон Ваiden (D-Ore.) просить NSA надати конкретні рекомендації.
«Американці, які стикаються з серйозними іноземними загрозами — зокрема, державні службовці, підрядники оборонної промисловості, журналісти та захисники прав людини — заслуговують на чітку, чесну пораду щодо найкращих способів захисту своїх комунікацій від стеження з боку іноземних супротивників», — написав Ваiden у листі, надісланому в середу генералу Джошуа Радду, директору NSA. «З цією метою я прошу вас оновити існуючі публічні рекомендації NSA щодо конфігурацій VPN для вирішення цієї проблеми».
Конкретні запитання стосуються досить технічних деталей, включаючи загальну архітектуру служби VPN. До них належать адекватність одноланкових VPN, які, як зазначено вище, використовують один сервер для розшифрування трафіку, надісланого користувачем, і надсилання його до пункту призначення. Також ставиться питання про архітектури з багатьма рівнями, де трафік проходить через два або більше серверів, дозволяючи першому бачити лише IP-адресу відправника, а кінцевому серверу — лише адресу призначення. Лист також запитує про адекватність таких сервісів, як Apple Private Relay, Nym та Tor, зокрема щодо використання випадкових затримок та криптографічного доповнення для запобігання атакам, що виявляють часові патерни або розмір повідомлень.
1. Чи є стандартні комерційні одноланкові VPN достатніми для захисту конфіденційних цифрових даних американців від іноземних супротивників, що контролюють інтернет-трафік?
2. Чи рекомендує NSA багатоланкові інструменти, такі як Apple Private Relay, Tor або Nym, замість стандартних VPN для американців, які стикаються з підвищеними загрозами стеження?
3. Які технічні функції, такі як випадкові затримки, доповнення та прикриття трафіку, необхідні для захисту від складного стеження, і як NSA оцінює багатоланкові системи, такі як Apple Private Relay, порівняно з Tor і Nym?
Nym — це VPN-клієнт з відкритим вихідним кодом, написаний на Rust, безпечній мові програмування, стійкій до атак, що використовують переповнення буфера або інші помилки, пов’язані з пошкодженням пам’яті. Nym може маршрутизувати трафік через децентралізовану «мікснет», яка забезпечує випадкові часові затримки та перевпорядкування повідомлень. VPN також може забезпечувати багатоланкову архітектуру.
Apple Private Relay забезпечує багатоланковий перегляд за допомогою двох серверів: одного, керованого Apple, і іншого — стороннім постачальником контенту. Tor — це служба конфіденційності, яка шифрує трафік і надсилає його через три сервери, перш ніж розшифрувати його та надіслати до кінцевого пункту призначення.
Кожен із сервісів має свої переваги та недоліки. Наприклад, канали, що надаються Nym та Tor, керуються волонтерами, деякі з яких можуть бути шпигунами, що працюють на державу, і намагаються використати свою позицію для збору розвідданих. Apple Private Relay покладається на мережі доставки контенту, такі як Cloudflare та Akamai, яким довіряють не всі. Його захист також обмежується браузером Safari, що працює на пристроях Apple.
Меморандум, виданий Дослідницькою службою Конгресу, надає огляд варіантів, але не містить критеріїв для визначення найкращих. Це залишає багатьох людей нездатними зробити усвідомлений вибір щодо того, що найкраще відповідає їхній моделі загроз.
«Не існує надійної стандартизації» для оцінки різних VPN-сервісів, зазначив Міка Шерр, професор Джорджтаунського університету, який спеціалізується на мережевій безпеці, в інтерв’ю. «e, може бути неймовірно неправдивою. Звичайним користувачам надзвичайно важко визначити, чи потрібен їм VPN, що насправді дає VPN, і який з них використовувати».
Ваiden попросив NSA надати відповіді не пізніше 14 жовтня.
Джерело новини: arstechnica.com