Известный американский сенатор обратился к Агентству национальной безопасности (АНБ) с просьбой предоставить общественности рекомендации по наилучшим практикам использования виртуальных частных сетей (VPN) для защиты коммуникаций от шпионажа со стороны иностранных противников.
VPN направляют весь интернет-трафик пользователя через зашифрованное соединение на удаленный сервер. Такая архитектура обеспечивает надежную гарантию того, что никто между пользователем и сервером не сможет прочитать зашифрованное содержимое. VPN также позволяют пользователям скрывать свои IP-адреса от целевых серверов, с которыми они общаются. Хотя американские ведомства ранее рекомендовали использовать VPN, ни одно из них не давало рекомендаций относительно того, какие из них обеспечивают адекватную защиту.
Все дело в нюансах
Существует множество ограничений, которые могут свести на нет многие из тех мер защиты, которые, как могут полагать пользователи, им предоставляют VPN. Например, зашифрованный туннель часто заканчивается, как только один сервер расшифровывает трафик и отправляет его к конечному пункту назначения. Это означает, что расшифрованный трафик или IP-адреса отправки и назначения могут быть доступны для подслушивания злонамеренными сотрудниками или злоумышленниками, взломавшими сервер. VPN также не шифруют определенные типы метаданных, такие как временные метки, что позволяет государствам создавать профили, полезные для сбора разведывательной информации.
При таком количестве нюансов существующие рекомендации по использованию VPN не предоставляют достаточной информации для принятия обоснованных решений. Сенатор Рон Уайден, демократ от штата Орегон, просит АНБ предоставить конкретные рекомендации.
«Американцы, сталкивающиеся с передовыми иностранными угрозами — включая государственных служащих, подрядчиков Министерства обороны, журналистов и правозащитников — заслуживают четких, честных советов о том, как лучше всего защитить свои коммуникации от слежки со стороны иностранных противников», — написал Уайден в письме, отправленном в среду генералу Джошуа М. Радду, директору АНБ. «С этой целью я прошу вас обновить существующие публичные рекомендации АНБ по конфигурации VPN для решения этой проблемы».
Конкретные вопросы касаются довольно технических деталей, включая общую архитектуру сервиса VPN. Они включают оценку достаточности VPN с одним узлом (single-hop), которые, как отмечалось ранее, используют один сервер для расшифровки трафика, отправленного пользователем, и его отправки к месту назначения. Также задаются вопросы об архитектурах с несколькими узлами (multi-hop), в которых трафик направляется через два или более сервера, позволяя первому видеть только IP-адрес отправителя, а конечному серверу — только адрес назначения. В письме также запрашивается информация об использовании случайных задержек и криптографического дополнения для предотвращения атак, обнаруживающих временные закономерности или размер сообщений. Уайден далее спрашивает об адекватности конкретных сервисов, таких как Apple Private Relay, Nym и Tor.
,
Вопросы:
1. Достаточны ли стандартные коммерческие VPN с одним узлом для защиты конфиденциальных цифровых следов американцев от иностранных противников, отслеживающих интернет-магистрали?
2. Рекомендует ли АНБ инструменты с несколькими узлами, такие как Apple Private Relay, Tor или Nym, вместо стандартных VPN для американцев, подвергающихся повышенной угрозе слежки?
3. Какие технические функции, такие как случайные задержки, дополнение и маскирующий трафик, необходимы для защиты от сложной слежки, и как АНБ оценивает системы с несколькими узлами, такие как Apple Private Relay, по сравнению с Tor и Nym?
Nym — это клиент VPN с открытым исходным кодом, написанный на Rust, языке программирования с безопасной памятью, устойчивом к атакам, использующим переполнение буфера или другие типы ошибок повреждения памяти. Nym может маршрутизировать трафик через децентрализованную «микснет» (mixnet), которая обеспечивает случайные временные задержки и переупорядочивание сообщений. VPN также может обеспечивать архитектуру с несколькими узлами.
Apple Private Relay обеспечивает многоскачковый (multi-hop) просмотр с использованием двух серверов: один управляется Apple, а другой — сторонним поставщиком контента. Tor — это сервис конфиденциальности, который шифрует трафик и отправляет его через три сервера перед расшифровкой и отправкой к конечному пункту назначения.
Каждый из сервисов имеет свои плюсы и минусы. Например, узлы, предоставляемые Nym и Tor, управляются добровольцами, некоторые из которых могут быть шпионами государств, пытающимися использовать свою позицию для сбора разведывательной информации. Apple Private Relay полагается на сети доставки контента, такие как Cloudflare и Akamai, которым доверяют не все. Его защита также ограничена браузером Safari, работающим на устройствах Apple.
В служебной записке Исследовательской службы Конгресса представлен обзор вариантов, но не даны критерии для определения лучших. Это оставляет многих людей неспособными сделать осознанный выбор относительно того, что лучше всего подходит для их модели угроз.
«Нет надежной стандартизации» для оценки различных VPN-сервисов, сказал в интервью Мика Шерр, профессор Джорджтаунского университета, специализирующийся на сетевой безопасности. «Реклама VPN, которую вы видите в роликах на YouTube, может быть невероятно вводящей в заблуждение. Обычным пользователям чрезвычайно трудно определить, нужен ли им VPN, что на самом деле дает VPN и какой из них использовать».
Уайден просил АНБ предоставить ответы не позднее 14 октября.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Dan Goodin
