Выяўленне VPN залежыць ад таго, дзе вы назіраеце

Два дэтэктары могуць назіраць за адным карыстальнікам і разыходзіцца, і абодва пры гэтым маюць рацыю. Назіральнік каля канала доступу бачыць знешнюю размову VPN; сайт бачыць злучэнне праграмы, якое прыходзіць з выхаду. Гэта розныя злучэнні з рознымі адбіткамі, і доказ з аднаго не пераносіцца на другое. Назваць пункт назірання перад абмеркаваннем любога тэсту TLS або TCP — гэта тое, што надае сцвярджэнню сэнс.

Дэтэктар без указанага пункту назірання апісвае меркаванне, а не вымярэнне.

Два пункты назірання, два розныя злучэнні

Знешняя размова належыць пратаколу тунеля: уласныя фарматы паведамленняў, уласная машына станаў, уласны таймінг. Унутранае злучэнне — гэта браўзер, які адкрывае TLS да сайта, пераносіцца праз тунель і затым перасылаецца з выхаду. Абодва існуюць у адзін і той жа момант, і яны не адзін і той жа паток. Адно — гэта тое, што бачыць сетка доступу, другое — тое, што бачыць прызначэнне, і прамежкавы вузел, які тэрмінуе любое з іх, змяняе абодва малюнкі.

Гэтая розніца тлумачыць большасць блытаніны ў абмеркаваннях выяўлення. Тэст, які паведамляе пра адно ў патоку, часта адказвае на пытанне пра іншы ўзровень, чым меў на ўвазе аператар.

Што бачыць назіральнік на шляху доступу

Каля канала доступу бачны матэрыял — гэта сам пратакол тунеля: тыпы пакетаў кіравання і даных для OpenVPN, фіксаваныя памеры рукапоціску і шаблоны даных WireGuard або любая абгортка, якую дадае разгортванне. Ці можа класіфікатар іх вызначыць, залежыць ад таго, што бачна, які транспарт гэта нясе і ці прысутнічае дадатковае зацямненне. Прыкметны шаблон — гэта доказ пра паток, а не доказ пра асобу або намер чалавека за ім.

Порт 443 — гэта ўмова для дасягнення сэрвісу. Ён не робіць кожны тунельны транспарт HTTPS.

Што сайт насамрэч бачыць

Пры маршрутызаваным тунелі браўзер па-ранейшаму праводзіць уласную TLS-сесію з сайтам. Трансляцыя на выхадзе не ператварае VPN-шлюз у TLS-канчатковую кропку браўзера, таму ClientHello, які атрымлівае сайт, апісвае браўзер або яго TLS-бібліятэку. Такім чынам, адбітак у стылі JA3 характарызуе злучэнне праграмы, а не праграмнае забеспячэнне VPN, якое яго нясе. Толькі наўмысна тэрмінуючы проксі змяняе гэтую схему, і яго трэба вызначаць асобна.

Назіранні TCP патрабуюць такой жа асцярожнасці. Перасылка, трансляцыя і проксі, які адкрывае новае злучэнне, — гэта тры розныя схемы, і толькі адна з іх перапісвае транспартны стек. Адна незвычайная характарыстыка не азначае адназначна тунель.

Трымайце сцвярджэнне ў межах доказаў

Сеткавая класіфікацыя, назіранне за пратаколам, адбіткі праграм і сігналы ўліковага запісу — гэта ўваходныя даныя для рашэння аб рызыцы, кожнае з якіх мае ілжывыя спрацоўванні, пропускі і адсутнасць доказаў. Адрас у дыяпазоне хостынгу нічога не даказвае пра камерцыйны VPN, а звычайны адбітак браўзера нічога не даказвае пра прамы. Калі ацэньваеце дэтэктар, выкарыстоўвайце дазволены набор даных з вядомымі шляхамі і запісвайце, якое назіранне дало кожны вынік.

Трымайце класіфікацыю пратакола асобна ад значнага рашэння аб доступе. Звычайны адказ або трука з пашкоджаным пакетам не пацвярджае выснову за ім; ён проста аказвае ціск на здагадку.

Карысная справаздача называе назіранне, пункт назірання і ўпэўненасць. Голы радок «VPN выяўлены» хавае менавіта тую частку, якая дазволіла б камусьці яго праверыць.