Wat die plaaslike netwerk steeds deur jou VPN sien

Drie waarnemers word in een vraag saamgevat wanneer iemand vra of ’n VPN hulle verkeer verberg: die netwerk waaraan hulle gekoppel is, die masjien in hulle hande, en die operateur van die tonnel. Elkeen leer iets anders, en die tonnel verander elkeen van daardie sienings op ’n ander manier. Dit help om die ander rigting te werk en by die bewering te begin, want ’n bewering is die ding wat aan ondersoek moet weerstaan. Besluit watter bewering jy nodig het, en vergelyk dan gereedskap daarmee.

Bewering een: niemand kan die verkeer lees nie

Begin met die engste bewering: die vrag bly onleesbaar. ’n Passiewe waarnemer op die pad kan nie binne ’n TLS-sessie sien nie, so die tonnel voeg min by ’n werf wat reeds HTTPS gebruik, en dit voeg niks teen die twee eindpunte by nie. Die party wat hierdie bewering breek, is wie die toestel beheer, want ’n ondersoekproksi beëindig die verbinding en onderteken dit weer met ’n wortel wat die masjien reeds vertrou. Dit is waarom die slot steeds verskyn terwyl die sertifikaatketting die naam dra van die organisasie wat die wortel geïnstalleer het.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

Op macOS druk daardie pyplyn een onderwerp-reël vir elke sertifikaat in die masjien se sleutelring uit, sonder om ’n venster oop te maak; op Windows lys certutil -store Root dieselfde stoor wat certlm.msc grafies wys. ’n Wortel wat aan ’n skool, ’n werkgewer of ’n netwerksekuriteitsproduk behoort, is die inskrywing om na te soek. Om een te vind bewys net dat onderskepping moontlik is, nie dat dit gebeur nie.

Wat jy daaraan kan doen, is ’n beleidsvraag eerder as ’n tegniese een. Om ’n profiel of ’n ondersoekwortel van hardeware te verwyder wat jy nie besit nie, oortree gewoonlik die aanvaarbare-gebruik-ooreenkoms, en die bestuurstelsel neig om dit raak te sien en weer toe te pas, so ’n vereiste dat die toesteleienaar nie jou verkeer mag lees nie, het ’n ander toestel nodig eerder as ’n ander instelling.

Bewering twee: niemand kan sien waarheen jy gaan nie

Bestemming is die moeiliker bewering, want twee openbaarmakings gebeur voordat ’n bladsy laai. ’n Opsoek gaan na watter oplosser die stelsel ook al ingestel is om te gebruik, en die antwoord is sigbaar vir die netwerk wat dit dra. ’n TLS-handdruk dra dan die versoekte bedienernaam in die oopte, tensy Encrypted Client Hello aan beide kante ondersteun word. Nie een van die openbaarmakings behels ontsluiting nie, so die tonnel het op nie een daarvan ’n uitwerking nie.

resolvectl status | grep -A2 "Link"
nslookup example.com

Watter oplosser werklik in gebruik is, bepaal die blootstelling, en dit kan gemeet word eerder as beredeneer. Op Linux druk resolvectl status die DNS-bedieners per skakel uit, en sy uitset vertel jou of die werf se oplosser of die ingestuurde een antwoord. Windows beantwoord dieselfde vraag met nslookup example.com, waarvan die eerste blok uitset die DNS-bediener is wat geantwoord het.

Wanneer die skootrekenaar die werf se oplosser navraag voordat die tonnel opkom, of die profiel aankom sonder ’n vervangingsbediener sodat die oue in gebruik bly, versamel die administrateur steeds gasheername sonder om enigiets te ontsluit. Geënkripteerde DNS in die blaaier omseil óf die ingestuurde oplosser óf word heeltemal geblokkeer en misluk geslote. Die uitgangsoperateur sien dieselfde name van sy kant. Om die oplosser te verander skuif dus nie daardie openbaarmaking weg van die tonnelverskaffer nie.

Bewering drie: niemand weet dat jy gekoppel het nie

Die derde bewering is die een wat ’n tonnel nie kan ondersteun nie, want die pakkette steek steeds die plaaslike netwerk oor. Daardie netwerk leer die eindpuntadres, die benaderde volume, die tydsberekening en die bestaan van een langdurige geënkripteerde sessie, wat genoeg is om te blokkeer, te beperk of bloot op te let. ’n Brandmuur wat nie ’n pakket kan lees nie, kan steeds weier om dit deur te laat. Om dopgehou te word is nie dieselfde as om deur niemand dopgehou te word nie: jy het die waarnemer verskuif, jy het dit nie uitgevee nie.

Gesplete tonneling, en enige toepassing wat die ingestuurde roete ignoreer, produseer vloei buite die tonnel wat presies lyk soos voorheen. Dit is die vloei wat ’n versigtige waarnemer eerste raaksien, en die kliënt se roetetabel wys watter bestemmings uitgesluit is.

Die operateur aan die ander kant hou die spieëlbeeld van daardie siening: uitgangadres, tydsberekening, volume en gewoonlik die werfname. Jou verskaffer word die party met die uitkykpunt, wat ’n ander ruil is as onsigbaarheid. Om ’n verskaffer te kies wat jy vertrou, is ’n werklike besluit; om die resultaat onwaargeneem te noem, is nie.

Bepaal watter bewering jy nodig het

Skryf die vereiste in een reël neer voordat jy ’n kliënt aanraak: verberg die inhoud, verberg die bestemmings, of verberg of jy hoegenaamd gekoppel het. Inhoud word reeds deur HTTPS plus die tonnel hanteer, terwyl bestemmings ’n oplosser en ’n pad vereis wat die werf se toerusting heeltemal omseil.

Die derde vereiste is die ongemaklike een, want iets is steeds sigbaar gekoppel êrens, geënkripteer of nie. Geen kliëntinstelling verander dit nie. As die vereiste en die beleid uitmekaar trek, hoort daardie gaping in ’n gesprek met wie die beleid besit, nie in ’n kliëntopsie nie. Die persoon wat dit kan beantwoord, is die een wat die beleid geskryf het.