Neden girişiniz bir e-posta değil, bir numara

Çoğu uygulama, asıl ne için geldiğinizi sormadan önce bir e-posta adresi ister. ForestVPN ne e-posta ne de parola ister — açın, bağlan'a basın. Aynı aboneliği birden fazla cihazda kullanmak isterseniz, bunun yerine bir kez gösterilen 32 karakterlik bir numara alırsınız; giriş sistemi bundan ibarettir.

Bu bir üslup tercihi değildir. İki gerekliliğin çarpışmasından geriye kalandır ve ilginç olan kısım, hangisinin kazandığıdır.

Girişin genellikle nerede yaşadığı

Bir “Apple ile Oturum Aç” veya “Google ile Oturum Aç” düğmesi, başkasının alan adına bir yönlendirmedir — appleid.apple.com, accounts.google.com, bir *.auth0.com kiracısı. Bu ana bilgisayarlara açık bir yolu olan bir telefonda, bu yönlendirme görünmez bir borulamadır.

Bu yolun açık olduğunu varsayamayız, çünkü bu ürünün işinin bir kısmı, bir cihazın yalnızca kısa ve sabit bir ana bilgisayar listesine erişebildiği ağlarda çalışmaya devam etmektir. Kendi röle proxy'mizin tüm güvenlik modeli bu listedir — tam olarak eşleşen üç ad, api., sess. ve catalog.fvpn.net. Bunu, bir CDN destekli kimlik sağlayıcısını kabul edecek şekilde genişletmek, aynı CDN'nin internetin büyük bir kısmını da barındırdığı bir sağlayıcıyı kabul etmek anlamına gelir; bu da dar bir röleyi genel amaçlı bir röleye dönüştürür. Özellikle iOS'ta, üçüncü taraf bir kimlik sağlayıcısı için oturum açma web görünümü kendi sürecinde çalışır — uygulama düzeyinde bir proxy ayarının buna erişip onu işlettiğimiz herhangi bir şey üzerinden yönlendirmesinin bir yolu yoktur. Yönlendirme, tam olarak en çok çalışması gereken yerde başarısız olur.

Yani numara, tanıdık seçenek yerine seçtiğimiz kullanıcı dostu bir seçenek değildir. Daha önemli olan kısıtlama altında hâlâ çalışan seçenektir.

Diğer yarısı: numarayı elinde bulunduran hiç kimse trafiğinizi göremez

Hesap numarasını farklı şekilde ifade edelim: bu, Cloudflare Workers üzerinde çalışan bir hizmet tarafından basılan bir kimlik bilgisidir — istek kapsamlı yürütme, uzun ömürlü süreç yok, ham soket yok, izole başına iki haneli megabaytlık bir bellek tavanı. Bunların hiçbiri etrafından dolaştığımız bir sınırlama değildir. Bu hizmetin hak sahipliğinizi tutmak için hiç güvenilebilir olmasının nedeni tam olarak budur:

no raw UDP or TCP sockets
no long-lived process — execution is request-scoped
128 MB per isolate
a few MB, compressed, is the entire deployable

Böyle inşa edilmiş bir makine, durum bilgili bir UDP tünelini sonlandıramaz — “henüz değil” değil, yapısal olarak. Bu yüzden trafiğinizi fiilen taşıyan sunucular ayrı bir altyapıda, ayrı bir filodur ve iki taraf tam olarak tek bir şeyle buluşur: bir bilet. Cihazınız Workers tarafından birini ister ve imzalanmış ama okunmamış bir değer alır — imza, imzalayanın hiç görmediği bir sayı üzerinden üretilir, bu yüzden daha sonra sunduğunuz bilet, onu basan isteğe geri izlenemez. Hangi katmanın onu satın aldığını kanıtlar. Hangi cihaz olduğunu söylemez ve sizi söylemez.

Hesap numarasını gerekli olduğu şekilde sıradan yapan şey budur. Bu sistemde hesap numarasını bir çıkış sunucusunun ya da bağlandığınız bir adresin yanında tutan bir sütun yoktur — “bakmamayı seçiyoruz” değil, sütun mevcut değildir ve biri eklenirse bir derleme kontrolü başarısız olur. Daha dar, kasıtlı bir istisna vardır ve bu numarayla değil cihazla ilgilidir: bir bilet geçerliyken, bir satır cihazınızın anahtar özetini, ait olduğu oturumun özetinin yanında adlandırır; bu da harcanmış bir biletin hakkınıza karşı düşülmesini ve iptal edilen bir cihazın oturum ortasında kesilmesini sağlayan şeydir. Bu satır, oturum bittikten yaklaşık bir gün içinde, hızlı çözülürse daha erken silinir ve bir çıkış ya da adres alanı yoktur — yalnızca cihaz ve oturum, başka hiçbir şey. Bir cihazı bir hesaba bağladıysanız, erişimin gittiği yer bu bağlantıdır; hesap numarasının kendisi hiçbir zaman bir oturum satırına dokunmaz. Trafiğinizi gerçekten gören hizmet, numarayı zaten hiç öğrenmez.

Bunun bedeli, gizlenmek yerine söylenmiş olarak

Bunların hiçbiri bedava değildir. Numara bir kez gösterilir ve bizim tarafımızda hiçbir yerde saklanmaz; ona hâlâ bağlı bir cihaz kalmadan onu kaybederseniz, onu kurtaracak hiçbir şey yoktur, çünkü sizi kurtarmaya karşı tanımlayacak başka hiçbir şey yoktur. Bağlantı geri alınabilir: bir cihaz hesaptan kendi kendine çıkış yapabilir ve hesaptaki başka herhangi bir cihaz onu kaldırabilir (bir hesap en fazla on cihaz taşır; son 7 günde katılan bir cihaz daha eski cihazları kaldıramaz, bir yönlendirici de başka cihazları kaldıramaz). Geri alınamayan şey numarayı kaybetmektir: parola sıfırlama diye bir şey yoktur, çünkü bu, isteğin hesabın gerçek sahibinden geldiğini kanıtlayacak bir yol gerektirir ve tasarımın tüm amacı bunu kanıtlayabilecek hiçbir şeyi asla toplamamaktı.

Bu gerçek bir değiş tokuştur, bir dipnot değil, ve önemli olduğu anda öğrenmenizdense baştan bilmenizi tercih ederiz.