VPN-opsporing hang daarvan af waar jy kyk

Twee opsporingsinstrumente kan dieselfde gebruiker dophou en van mekaar verskil, en albei kan korrek wees. ’n Waarnemer langs die toegangskakel sien die VPN se buitenste gesprek; die webwerf sien die toepassingsverbinding wat van die uitgang af kom. Dit is verskillende verbindings met verskillende vingerafdrukke, en bewyse van die een dra nie oor na die ander nie. Om die waarnemingspunt te noem voordat enige TLS- of TCP-toets bespreek word, is wat die bewering betekenisvol maak.

’n Waarnemer sonder ’n genoemde waarnemingspunt beskryf ’n mening eerder as ’n meting.

Twee waarnemingspunte, twee verskillende verbindings

Die buitenste gesprek behoort aan die tonnelprotokol: sy eie boodskappeformate, sy eie toestandmasjien, sy eie tydsberekening. Die binneste verbinding is die blaaier wat TLS na die webwerf oopmaak, deur die tonnel gedra en dan vanaf die uitgang aangestuur. Albei bestaan op dieselfde oomblik en hulle is nie dieselfde vloei nie. Een is wat ’n toegangsnetwerk kan sien, die ander is wat die bestemming kan sien, en ’n middelboks wat enige van die twee termineer, verander beide prente.

Daardie verskil verduidelik die meeste van die verwarring in opsporingsbesprekings. ’n Toets wat een ding oor ’n vloei rapporteer, antwoord dikwels ’n vraag oor ’n ander laag as wat die operateur in gedagte gehad het.

Wat die waarnemer op die toegangspad sien

Langs die toegangskakel is die sigbare materiaal die tonnelprotokol self: beheer- en datapakkiestipes vir OpenVPN, die vastegrootte handdruk- en datapatrone van WireGuard, of watter omhulsel die ontplooiing ook byvoeg. Of ’n klassifiseerder hulle kan identifiseer, hang af van wat sigbaar is, watter vervoer dit dra en of bykomende verberging aanwesig is. ’n Herkenbare patroon is bewyse oor ’n vloei, en nie bewyse oor die identiteit of bedoeling van die persoon daaragter nie.

Poort 443 is ’n konvensie om ’n diens te bereik. Dit maak nie elke tonnelvervoer HTTPS nie.

Wat die webwerf werklik sien

Met ’n gerouteerde tonnel voer die blaaier steeds sy eie TLS-sessie met die werf uit. Vertaling by die uitgang maak nie die VPN-gateway die blaaier se TLS-eindpunt nie, so die ClientHello wat die werf ontvang, beskryf die blaaier of sy TLS-biblioteek. ’n JA3-tipe vingerafdruk kenmerk dus die toepassingsverbinding, nie die VPN-sagteware wat dit dra nie. Net ’n doelbewuste terminerende proxy verander daardie reëling, en dit moet afsonderlik geïdentifiseer word.

TCP-waarnemings verg dieselfde sorg. Aansturing, vertaling en ’n proxy wat ’n nuwe verbinding oopmaak, is drie verskillende ontwerpe, en net een van hulle herskryf die vervoerstapel. ’n Enkele ongewone eienskap impliseer nie uniek ’n tonnel nie.

Hou die bewering binne die bewyse

Netwerkkklassifikasie, protokolwaarneming, toepassingsvingerafdrukke en rekeningseine is insette tot ’n risikobesluit, elk met vals positiewes, vals negatiewes en ontbrekende bewyse. ’n Adres in ’n hostingreeks bewys niks oor ’n kommersiële VPN nie, en ’n algemene blaaier-vingerafdruk bewys niks oor ’n direkte een nie. Wanneer jy ’n opsporingsinstrument evalueer, gebruik ’n gemagtigde datastel met bekende roetes en teken aan watter waarneming elke resultaat opgelewer het.

Hou protokolklassifikasie apart van ’n gevolglike toegangsbesluit. ’n Pasgemaakte antwoord of ’n truuk met misvormde pakkies bevestig nie die afleiding daaronder nie; dit plaas net druk op ’n vermoede.

’n Nuttige verslag noem die waarneming, die waarnemingspunt en die vertroue. ’n Kaal «VPN bespeur»-lyn verberg juis die deel wat iemand sou laat dit nagaan.