Yerli şəbəkə VPN-inizdən nəyi hələ də görür

Kimsə VPN-in trafikini gizlədib-gizləmədiyini soruşanda üç müşahidəçi bir suala yığılır: qoşulduqları şəbəkə, əllərindəki maşın və tunelin operatoru. Hər biri fərqli bir şey öyrənir və tunel bu baxışların hər birini fərqli şəkildə dəyişir. Əks istiqamətdə işləmək və irəli sürülən iddiadan başlamaq faydalıdır, çünki iddia yoxlamaya tab gətirməli olan şeydir. Hansı iddiaya ehtiyacınız olduğunu qərar verin, sonra alətləri onunla müqayisə edin.

Birinci iddia: trafiki heç kim oxuya bilmir

Ən dar iddiadan başlayın: faydalı yük oxunmaz qalır. Yolda passiv müşahidəçi TLS sessiyasının içini görə bilməz, ona görə tunel artıq HTTPS istifadə edən sayta az şey əlavə edir və iki son nöqtəyə qarşı heç nə əlavə etmir. Bu iddianı qıran tərəf cihazı idarə edəndir, çünki yoxlama proksisi bağlantını sonlandırır və onu maşının artıq etibar etdiyi köklə yenidən imzalayır. Buna görə sertifikat zənciri kökü quraşdıran təşkilatın adını daşıyarkən qıfıl hələ də görünür.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

macOS-da bu boru xətti maşının açar zəncirindəki hər sertifikat üçün bir mövzu sətri çap edir, heç bir pəncərə açmadan; Windows-da isə certutil -store Root certlm.msc-nin qrafik olaraq göstərdiyi eyni anbarı siyahıya alır. Məktəbə, işəgötürənə və ya şəbəkə təhlükəsizliyi məhsuluna aid kök axtarılacaq girişdir. Birini tapmaq yalnız müdaxilənin mümkün olduğunu sübut edir, baş verdiyini yox.

Bununla bağlı nə edə biləcəyiniz texniki deyil, siyasət məsələsidir. Sahibi olmadığınız avadanlıqdan profil və ya yoxlama kökünü silmək adətən məqbul istifadə müqaviləsini pozur və idarəetmə sistemi bunu görüb yenidən tətbiq etməyə meyillidir, ona görə cihaz sahibinin trafikinizi oxumamalı olması tələbi fərqli parametr deyil, fərqli cihaz tələb edir.

İkinci iddia: hara getdiyinizi heç kim görə bilmir

Təyinat daha çətin iddiadır, çünki səhifə yüklənməzdən əvvəl iki açıqlama baş verir. Sorğu sistemin istifadə etməyə konfiqurasiya olunduğu həll ediciyə gedir və cavab onu daşıyan şəbəkəyə görünür. Sonra TLS əl sıxması tələb olunan server adını açıq şəkildə daşıyır, əgər Encrypted Client Hello hər iki tərəfdə dəstəklənmirsə. Açıqlamaların heç biri şifrənin açılmasını əhatə etmir, ona görə tunelin heç birinə təsiri yoxdur.

resolvectl status | grep -A2 "Link"
nslookup example.com

Hansı həlledicinin həqiqətən istifadədə olması məruz qalmanı müəyyən edir və bunu mübahisə etmək əvəzinə ölçmək olar. Linux-da resolvectl status hər keçid üzrə DNS serverlərini çap edir və çıxışı sayt həlledicisinin, yoxsa ötürülənin cavab verdiyini bildirir. Windows eyni suala nslookup example.com ilə cavab verir, onun çıxışının ilk bloku cavab verən DNS serveridir.

Noutbuk tunel qalxmazdan əvvəl sayt həlledicisindən sorğu göndərdikdə və ya profil əvəzedici server olmadan gəlib köhnəsi istifadədə qaldıqda, administrator heç nəyin şifrəsini açmadan host adlarını yenə toplayır. Brauzerdəki şifrələnmiş DNS ya ötürülən həlledicini yan keçir, ya da tamamilə bloklanır və bağlı şəkildə uğursuz olur. Çıxış operatoru öz tərəfindən eyni adları görür. Ona görə həlledicini dəyişmək bu açıqlamanı tunel provayderindən uzaqlaşdırmır.

Üçüncü iddia: heç kim qoşulduğunuzu bilmir

Üçüncü iddia tunelin dəstəkləyə bilmədiyi iddiadır, çünki paketlər hələ də yerli şəbəkədən keçir. Bu şəbəkə son nöqtə ünvanını, təxmini həcmi, vaxtı və bir uzunmüddətli şifrələnmiş sessiyanın mövcudluğunu öyrənir, bu isə bloklamaq, yavaşlatmaq və ya sadəcə fərq etmək üçün kifayətdir. Paketi oxuya bilməyən firewall yenə də onu keçirməkdən imtina edə bilər. İzlənmək heç kim tərəfindən izlənməməklə eyni deyil: müşahidəçini köçürdünüz, onu silmədiniz.

Bölünmüş tunelleşdirmə və ötürülən marşrutu nəzərə almayan hər hansı tətbiq tuneldən kənarda axınlar yaradır ki, onlar əvvəlki kimi görünür. Diqqətli müşahidəçinin ilk fərq etdiyi axınlar bunlardır və müştərinin marşrut cədvəli hansı təyinatların xaric edildiyini göstərir.

Digər tərəfdəki operator həmin mənzərənin güzgü obrazını saxlayır: çıxış ünvanı, vaxt, həcm və adətən sayt adları. Provayderiniz baxış nöqtəsinə sahib tərəfə çevrilir, bu isə görünməzlikdən fərqli bir mübadilədir. Ehtibar etdiyiniz provayderi seçmək real qərardır; nəticəni müşahidə olunmamış adlandırmaq isə deyil.

Hansı iddiaya ehtiyacınız olduğunu qərar verin

Müştəriyə toxunmazdan əvvəl tələbi bir sətirdə yazın: məzmunu gizlət, təyinatları gizlət və ya ümumiyyətlə qoşulub-qoşulmadığını gizlət. Məzmun artıq HTTPS və tunel tərəfindən həll olunur, təyinatlar isə sayt avadanlığını tamamilə yan keçən həlledici və yol tələb edir.

Üçüncü tələb narahat olandır, çünki haradasa hələ də görünən şəkildə qoşulmuş bir şey var, şifrələnmiş olsun ya olmasın. Heç bir müştəri parametri bunu dəyişmir. Tələb və siyasət bir-birindən ayrılırsa, bu boşluq müştəri seçimində deyil, siyasətin sahibi ilə söhbətdə yer alır. Buna cavab verə bilən şəxs siyasəti yazandır.