حفاظتهای VPN
در یک ساختار متداول VPN، تمام ترافیک اینترنت شما از طریق یک سرور واحد تونل شده/blog/vpn-tunnels که توسط ارائهدهنده VPN اداره میشود. در عمل، این به چه معناست:
- رمزگذاری: ترافیک شما بین دستگاهتان و سرور VPN رمزگذاری میشود و از مشاهده فعالیت شما توسط شنودگران محلی (مانند ISPها یا اپراتورهای وایفای عمومی) جلوگیری میکند.
- ناشناسسازی (جزئی): آدرس IP شما از دنیای بیرون پنهان میشود و با IP سرور VPN جایگزین میشود.
آسیبپذیری VPNهای سنتی
با این حال، یک نکته مهم وجود دارد: ** با نظارت به خود سرور VPN به یک نقطه قدرتمند نظارتی تبدیل میشود**. این سرور هم آدرس IP واقعی شما و هم مقصد نهایی ترافیک شما را میبیند. در واقع، شما اعتماد به ISP خود را با اعتماد به ارائهدهنده VPN جایگزین کردهاید. در بیشتر کاربردهای واقعی، مانند وبگردی، دادههای داخل تونل VPN در لایه برنامه با استفاده از HTTPS رمزگذاری میشوند.
در بیشتر کاربردهای دنیای واقعی، مانند وبگردی، دادههای داخل تونل VPN در لایهٔ برنامه با استفاده از HTTPS رمزگذاری میشوند. این بدان معناست که اگرچه ارائهدهنده VPN میتواند ببیند به کدام سرور متصل میشوید (مثلاً آدرس IP یا حتی دامنه، از طریق فراداده DNS یا TLS)، اما نمیتواند محتوای واقعی ارتباط شما مانند صفحات وب مشاهدهشده یا دادههای ارسالی در فرمها را بخواند. با این حال، ارائهدهنده همچنان به فرادادهٔ اتصال مانند IPهای مقصد، دامنهها (در برخی موارد)، حجم ترافیک و اطلاعات زمانی دسترسی دارد که میتوان از آنها برای تحلیل فعالیت کاربران استفاده کرد.
چرا دو هاپ؟ ورود به VPN چندهاپه
برای کاهش مشکل تمرکزگرایی، VPNهای دوهاپه یا دو-پرشی که اغلب VPNهای غیرمتمرکز (dVPN) نامیده میشوند، ترافیک را از طریق دو سرور مجزا هدایت میکنند: یک گره ورودی و یک گره خروجی. ایدهٔ اصلی این است که هیچ سرور واحدی نتواند هویت شما را به فعالیتهایتان مرتبط کند:
- گره ورودی (یا دروازه یا گیتوی) آدرس IP شما را میبیند، اما از مقصد نهایی ترافیک شما در اینترنت آگاه نیست
- گره خروجی آدرس IP مقصد نهایی را میبیند، اما نمیداند شما چه کسی هستید.
این مدل اعتمادِ تقسیمشده، در صورتی که دو گره توسط نهادهای مستقل و غیرهمدست اداره شوند، حریم خصوصی را بهطور قابل توجهی افزایش میدهد. اما این یک «اگر» بسیار مهم است. برای مثال، اگر یک شرکت یا نهاد هر دو سرور ورودی و خروجی را اداره کند، میتواند ارتباط بین آنها را برقرار کرده و مسیر کامل فعالیت شما را بازسازی کند. این موضوع ما را دوباره به همان مشکل اصلی اعتماد متمرکز بازمیگرداند.
WireGuard: چهار روش برای طراحی یک VPN دو-پرشی
بیایید روشهای مختلف ساخت یک VPN دوهاپه با استفاده از
WireGuard را بررسی کنیم؛ پروتکلی مدرن، سریع و شناختهشده به خاطر سادگی و کارایی بالا. هر روش پیامدهای متفاوتی برای حریم خصوصی دارد.
1. یک تونل WireGuard به گره خروجی
نحوه عملکرد آن
کلاینت مستقیماً یک تونل WireGuard با گره خروجی ایجاد میکند. گره ورودی فقط بستههای رمزگذاریشدهٔ تونل را عبور میدهد و هیچ عملیات رمزگذاری یا رمزگشایی انجام نمیدهد. اتصال بین کلاینت و گره ورودی میتواند از هر پروتکل انتقالی مانند QUIC، TCP یا حتی یک تونل مبهمسازیشده استفاده کند؛ بسته به آنچه سیستم پشتیبانی میکند.
پیامدهای حریم خصوصی
از آنجا که ترافیک عبوری از گره ورودی در تونل WireGuard میان کلاینت و گره خروجی رمزگذاری شده است، گره ورودی به محتوای ترافیک یا IP مقصد دسترسی ندارد. از آنجا که اتصال مستقیمی بین کلاینت و گره خروجی وجود ندارد، گره خروجی آدرس IP کلاینت را نمیداند.
با این حال، باید توجه داشت که ایجاد تونل WireGuard بین کلاینت و گره خروجی مستلزم تبادل کلیدهای عمومی است. این بدان معناست که گره خروجی کلید عمومی کلاینت را میشناسد و از آنجا که کلیدهای WireGuard بهصورت پیشفرض عمر طولانی دارند، گره خروجی میتواند از نظر تئوری فعالیت کاربر را در چندین نشست مختلف—حتی اگر IP تغییر کند—ردیابی و به یکدیگر مرتبط کند. اگرچه چرخش دورهای کلیدها میتواند این خطر را کاهش دهد، اما WireGuard بهصورت خودکار این کار را انجام نمیدهد. در نتیجه، گره خروجی میتواند هویت کلاینت را با مقصد نهایی ترافیک مرتبط کند. بنابراین، این ساختار میتواند زمینهٔ تحلیل و ردیابی بلندمدت کاربران را فراهم کند.
2. یک تونل WireGuard به گره ورودی
نحوه عملکرد آن
کلاینت یک تونل WireGuard با گره ورودی برقرار میکند و گره ورودی پس از رمزگشایی ترافیک، آن را از طریق کانالهای معمولی به گره خروجی ارسال میکند. اتصال میان گره ورودی و خروجی میتواند از هر پروتکل انتقالی استفاده کند، اما بخشی از تونل WireGuard ایجادشده با کلاینت نیست.
پیامدهای حریم خصوصی
از آنجا که تونل WireGuard در گره ورودی پایان مییابد، گره ورودی میتواند هم آدرس IP کاربر و هم مقصد موردنظر او را مشاهده کند. اگرچه گره خروجی فقط ترافیک دریافتی از گره ورودی را میبیند و نمیتواند آن را به کاربر اصلی نسبت دهد، گره ورودی هم به هویت کاربر و هم به مقصد دسترسی دارد و میتواند آنها را به یکدیگر مرتبط کند. اگر هدف شما غیرقابلارتباط بودن هویت کاربر با مقصد باشد، این مدل شکست میخورد، زیرا گره ورودی هر دو سمت ارتباط را مشاهده میکند. بنابراین، از دیدگاه حریم خصوصی، این مدل تفاوتی با یک VPN سنتی ندارد.
3. تونلهای زنجیرهای WireGuard (رمزگذاری مجدد در گره ورودی)
نحوه عملکرد آن
کلاینت یک تونل WireGuard با گره ورودی برقرار میکند. گره ورودی ترافیک کلاینت را رمزگشایی کرده و سپس آن را در یک تونل WireGuard جدید برای گره خروجی دوباره رمزگذاری میکند. گره خروجی این تونل دوم را رمزگشایی کرده و ترافیک را به مقصد نهایی ارسال میکند.
این طراحی شامل دو تونل مجزای WireGuard است:
- یکی از کلاینت به گره ورودی
- یکی از گره ورودی به گره خروجی
کلاینت فقط در تونل اول مشارکت دارد. تونل دوم بهطور کامل توسط گرههای ورودی و خروجی مدیریت میشود.
پیامدهای حریم خصوصی
از آنجا که تونل WireGuard کاربر در گره ورودی خاتمه مییابد، گره ورودی دید کاملی نسبت به هویت و فعالیت کاربر دارد. این گره آدرس IP واقعی کاربر و محتوای رمزگشاییشدهٔ ترافیک، از جمله IP مقصد و هرگونه دادهٔ رمزگذارینشده را مشاهده میکند. این یعنی گره ورودی میتواند پیش از ارسال ترافیک، آن را بررسی، ثبت یا حتی تغییر دهد.
از سوی دیگر، گره خروجی ترافیک را از گره ورودی درون یک تونل WireGuard جداگانه دریافت میکند. این گره آدرس IP واقعی کاربر را نمیداند، اما میتواند IP مقصد و هرگونه محتوای متنِ آشکار (Plaintext) را مشاهده کند. این رویکرد نسبت به VPNهای تکهاپه تا حدی بهبود ایجاد میکند، زیرا از دو گره استفاده میکند؛ اما گره ورودی همچنان هم به هویت کاربر و هم به مقصد دسترسی دارد. تنها گره خروجی از دانستن مبدأ ترافیک محروم است. همچنین بدون رمزگذاری در لایهٔ برنامه (مانند HTTPS)، محتوای ارتباط نیز برای هر دو گره قابل مشاهده خواهد بود.
4. تونلهای WireGuard تودرتو (رویکرد «تونل در تونل» NymVPN)
نحوه عملکرد آن
در این ساختار، کلاینت دو تونل WireGuard تودرتو ایجاد میکند: یک تونل داخلی به گره خروجی و یک تونل خارجی به گره ورودی. ابتدا تونل داخلی ایجاد میشود و ترافیک واقعی را در بر میگیرد؛ سپس تونل خارجی این تونل داخلی را در خود قرار میدهد.
ترافیک ابتدا برای گره خروجی رمزگذاری میشود و سپس یک بار دیگر برای گره ورودی رمزگذاری میشود. گره ورودی فقط تونل WireGuard خارجی را رمزگشایی میکند و تونل داخلی را که همچنان کاملاً رمزگذاری شده است، به گره خروجی ارسال میکند. سپس گره خروجی لایهٔ داخلی را رمزگشایی کرده و ترافیک را به مقصد نهایی ارسال میکند.
پیامدهای حریم خصوصی
این همان رویکردی است که در حالت Fast نایمویپیان, استفاده میشود و با بهرهگیری از تونلهای WireGuard تودرتو، از ارتباطپذیری میان کاربران و مقصدهایشان جلوگیری میکند. پس بیایید ببینیم چگونه کار میکند.
از آنجا که گره ورودی فقط تونل خارجی را رمزگشایی میکند، به محتوای ترافیک یا IP مقصد دسترسی ندارد. این گره آدرس IP کاربر را میداند، زیرا تونل خارجی مستقیماً با کاربر برقرار شده است؛ اما تنها تونل WireGuard داخلیِ مخصوص گره خروجی را مشاهده میکند. این گره نمیتواند مقصد را بررسی کند، تغییر دهد یا اطلاعاتی دربارهٔ آن به دستآورد.
در مقابل، گره خروجی تونل WireGuard داخلی را رمزگشایی کرده و IP مقصد نهایی و ترافیک رمزگشاییشده را مشاهده میکند. با این حال، این گره فقط بستهها را از گره ورودی دریافت میکند و به IP واقعی یا هویت کاربر دسترسی ندارد.
این جداسازی دقیق اطلاعات باعث میشود که هیچیک از دو گره بهتنهایی نتواند مبدأ (IP کاربر) را با مقصد (IP سرور) مرتبط کند. گره ورودی میداند کاربر چه کسی است، اما نمیداند به کجا متصل میشود. گره خروجی میداند ترافیک به کجا میرود، اما نمیداند از چه کسی آمده است. تا زمانی که این دو گره بهصورت مستقل اداره شوند و لاگ یا فرادادهای را با یکدیگر به اشتراک نگذارند، این ساختار جداسازی قدرتمندی میان هویت کاربر و فعالیت آنلاین او فراهم میکند. حتی اگر یکی از گرهها به خطر بیفتد، بهتنهایی نمیتواند هویت واقعی کاربر را آشکار کند.
همانند حالت استفاده از یک تونل WireGuard مستقیم به گره خروجی، کاربر باید کلید عمومی خود را با گره خروجی مبادله کند. در نتیجه، مگر اینکه کاربر کلیدهای خود را بهطور منظم تعویض کند، گره خروجی میتواند هویت WireGuard او را در طول زمان با فعالیتهای آنلاینش مرتبط سازد.
علاوه بر این، در ساختار تکتونل به گره خروجی، اگر از رمزگذاری انتقالی اضافی استفاده نشود، یک ناظر شبکه میان کاربر و گره ورودی یا میان گره ورودی و خروجی میتواند الگوهای ترافیکی را تطبیق داده و احتمالاً کاربران را به گرههای خروجی خاص مرتبط کند. این موضوع ناشناسماندن را تضعیف کرده و خطر پروفایلسازی کاربران را افزایش میدهد.
نتیجهگیری: طراحی VPN اهمیت دارد
غیرمتمرکز بودن اغلب در بازاریابی VPNها مطرح میشود، اما مزیت واقعی حریم خصوصی از نحوهٔ طراحی معماری سیستم ناشی میشود، نه از نامی که روی آن گذاشته میشود. یک VPN دو-پرشی میتواند واقعاً حریم خصوصی را بهبود دهد، اما تنها در صورتی که:
- گرههای ورودی و خروجی توسط طرفهای مستقل و غیرهمدست اداره میشوند
- طراحی پروتکل و تونل از بازرسی و همبستگی ترافیک جلوگیری میکند
اگر در حال ارزیابی یک راهکار dVPN هستید، به خاطر داشته باشید که غیرمتمرکزسازی فقط به توزیع سرورها محدود نمیشود؛ بلکه به توزیع اعتماد به شکلی مربوط است که هیچ طرف واحدی نتواند تصویر کاملی از زندگی آنلاین شما را بازسازی کند.
