OVPN logger ikke noen aktivitet for brukere som er koblet til VPN-serverne våre. Vi vet ikke hvem som er tilkoblet, hva de gjør, eller når de gjør det.
Vi har lagt ned mye arbeid i å sørge for at det er helt umulig for VPN- og DNS-serverne våre å lagre logger med brukeraktivitet. Hvis du vil vite hvordan vi oppnådde dette, kan du lese videre!
Vi har tre lag med sikkerhet. Det første laget er hva vi kan kalle programvaresikkerhet - og hva denne artikkelen fokuserer på. Det andre sikkerhetssjiktet er vår sterke fysiske sikkerhet, og det tredje laget er vår juridiske forsikringssikkerhet.
OpenVPN
Foreløpig bruker OVPN bare OpenVPN da det er betydelig tryggere enn andre VPN-protokoller. OpenVPN tillater imidlertid logging av alt som skjer i VPN-tunnelen, noe vi absolutt vil forhindre.
I serverkonfigurasjonen for OpenVPN har vi skrevet inn følgende linjer:
log/dev/null
status/dev/null
Loggparameteret oppretter en fil som blant annet lagrer IP-adressen som ble brukt når du bruker klienten og på hvilket tidspunkt dette skjedde. Ved å lese loggfilen kan du deretter retroaktivt korrelere hvem som var koblet til VPN-tjenesten og på hvilket tidspunkt.
Dette er veldig sensitiv informasjon, og verken vi eller våre kunder ønsker at den skal eksistere. Konfigurasjonen vår lar oss forkaste denne informasjonen ved å sende denne informasjonen direkte til/dev/null siden vi ønsker å bli helt kvitt informasjonen.
Statusparameteret oppretter en fil som viser alle tilkoblede klienter med den tilhørende MAC-adressen. Denne informasjonen er også svært sensitiv og ikke noe vi vil beholde. Vi behandler denne loggen på samme måte som loggparameteret og sender den rett til /dev/null og blir kvitt den.
Vi stoppet ikke med å bare deaktivere loggene med konfigurasjonen vår. Vi bruker også AppArmor for å fjerne alle skriverettigheter som OpenVPN ikke trenger for å fungere.
AppArmor-konfigurasjonen vi har satt opp er:
/{,var/}run/openvpn/*.pid rw,
/dev/net/tun rw
OpenVPN opprettholder dermed bare de skriverrettighetene som trengs for å fungere og ingenting annet.
Det er helt umulig for OpenVPN å logge informasjon, siden det ikke finnes noen skriverrettigheter for det.
DNS - Bind9
OVPN driver sine egne DNS-servere for å forhindre at våre kunder får DNS-lekkasjer. En DNS-server kan logge hver forespørsel du sender til den. Igjen, dette er noe vi ønsker å forhindre, og vi endret DNS-konfigurasjonen til følgende:
logging {
category client { null; };
category config { null; };
category database { null; };
category default { null; };
category delegation-only { null; };
category dispatch { null; };
category dnssec { null; };
category general { null; };
category lame-servers { null; };
category network { null; };
category notify { null; };
category queries { null; };
category resolver { null; };
category rpz { null; };
category rate-limit { null; };
category security { null; };
category unmatched { null; };
category update { null; };
category update-security { null; };
category xfer-in { null; };
category xfer-out { null; };
};
Alle logger er fullstendig inaktivert. Og enda en gang stoppet vi ikke der. Vi har også aktivert AppArmor å fjerne skriverettighetene som Bind9 ikke trenger for å kunne operere.
AppArmor-konfigurasjonen for skriverettighetene er:
/var/lib/named/var/lib/bind/** rw,
/var/lib/named/var/lib/bind/ rw,
/var/lib/named/var/cache/bind/** lrw,
/var/lib/named/var/cache/bind/ rw,
/var/lib/named/var/run/** lrw,
/var/lib/named/var/run/ rw,
/{,var/}run/named/named.pid w,
/{,var/}run/named/session.key w,
Som du ser, beholder Bind9 bare de skriverrettighetene som er absolutt nødvendige for å operere. Konfigurasjonene våre gjør det umulig for våre DNS-servere å logge noe i det hele tatt.
Konklusjon
Kundene våre kan slappe av! Vi har jobbet hardt for å forhindre at det genereres logger i programvaren eller serverne som trengs for å drive tjenestene våre. Vi bruker også sterkeste kryptering for all trafikk som går gjennom VPN-tjenesten vår.
Som nevnt i begynnelsen av denne artikkelen, har vi også implementert en sterk fysisk sikkerhet - noe vi er veldig glade for. Vi har til og med en forsikring som dekker advokatutgifter - noe som betyr at vi har muligheten til å ta forespørsler om brukerinformasjon til retten og kjempe mot dem der.
Bruker du for øyeblikket en annen VPN-leverandør? Har de fortalt deg om forholdsreglene de har tatt for å forsikre deg om at det ikke føres logger med sensitiv informasjon på serverne deres, og hvordan de garanterer din sikkerhet?