Што лакальная сетка ўсё яшчэ бачыць праз ваш VPN

Тры назіральнікі зліваюцца ў адно пытанне, калі хтосьці пытаецца, ці хавае VPN яго трафік: сетка, да якой ён падключаны, машына ў яго руках і аператар тунэлю. Кожны даведваецца пра нешта іншае, і тунэль змяняе кожны з гэтых поглядаў па-свойму. Карысна ісці ў адваротным кірунку і пачынаць з заявы, бо менавіта заява павінна вытрымаць праверку. Вызначце, якая заява вам патрэбная, затым параўнайце з ёй інструменты.

Заява першая: ніхто не можа прачытаць трафік

Пачніце з самай вузкай заявы: карысны груз застаецца нечытэльным. Пасыўны назіральнік на шляху не можа зазірнуць унутр сеансу TLS, таму тунэль мала што дадае сайту, які ўжо выкарыстоўвае HTTPS, і нічога не дадае супраць двух канцавых пунктаў. Заяву парушае той, хто кантралюе прыладу, бо праксі-сервер інспекцыі завяршае злучэнне і падпісвае яго зноў коранем, якому машына ўжо давярае. Таму замак усё яшчэ з’яўляецца, пакуль ланцуг сертыфікатаў нясе назву арганізацыі, якая ўсталявала корань.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

На macOS гэты канвеер выводзіць адзін радок суб’екта для кожнага сертыфіката ў звязцы ключоў машыны, не адкрываючы акно; у Windows certutil -store Root пералічвае тое ж сховішча, якое certlm.msc паказвае графічна. Корань, які належыць школе, працадаўцу або прадукту сеткавай бяспекі, — гэта запіс, які трэба шукаць. Знайсці адзін даказвае толькі тое, што перахоп магчымы, а не тое, што ён адбываецца.

Што вы можаце з гэтым зрабіць — пытанне палітыкі, а не тэхнікі. Выдаленне профілю або кораня інспекцыі з абсталявання, якім вы не валодаеце, звычайна парушае пагадненне аб дапушчальным выкарыстанні, і сістэма кіравання схільная заўважыць гэта і паўторна ўжыць, таму патрабаванне, што ўладальнік прылады не павінен чытаць ваш трафік, патрабуе іншай прылады, а не іншай налады.

Заява другая: ніхто не бачыць, куды вы ідзяце

Прызначэнне — больш складаная заява, бо два раскрыцці адбываюцца да загрузкі старонкі. Запыт ідзе да таго рэзалвера, які сістэма наладжана выкарыстоўваць, і адказ бачны сетцы, што яго нясе. Затым рукапоціск TLS перадае запытанае імя сервера адкрыта, калі Encrypted Client Hello не падтрымліваецца з абодвух бакоў. Ні адно з раскрыццяў не прадугледжвае расшыфроўкі, таму тунэль не ўплывае ні на адно з іх.

resolvectl status | grep -A2 "Link"
nslookup example.com

Менавіта тое, які рэзалвер фактычна выкарыстоўваецца, вызначае ўразлівасць, і гэта можна вымераць, а не абмяркоўваць. У Linux resolvectl status выводзіць DNS-серверы для кожнага злучэння, і яго вывад паведамляе, хто адказвае — рэзалвер сайта ці навязаны. Windows адказвае на тое ж пытанне з дапамогай nslookup example.com, першы блок вываду якога — гэта DNS-сервер, што адказаў.

Калі ноўтбук звяртаецца да рэзалвера сайта да ўзняцця тунэлю, або профіль прыходзіць без заменнага сервера, таму стары застаецца ўжываным, адміністратар усё яшчэ збірае імёны хастоў, нічога не расшыфроўваючы. Шыфраваны DNS у браўзеры або абыходзіць навязаны рэзалвер, або цалкам блакуецца і адмаўляе замест падзення. Аператар выхаду бачыць тыя ж імёны са свайго боку. Таму змена рэзалвера не прыбірае гэта раскрыццё ад правайдэра тунэлю.

Заява трэцяя: ніхто не ведае, што вы падключыліся

Трэцяя заява — тая, якую тунэль не можа падтрымаць, бо пакеты ўсё яшчэ перасякаюць лакальную сетку. Гэтая сетка даведваецца адрас канцавога пункта, прыблізны аб’ём, час і факт існавання аднаго доўгага шыфраванага сеансу, чаго дастаткова, каб блакаваць, абмяжоўваць або проста заўважыць. Міжсеткавы экран, які не можа прачытаць пакет, усё роўна можа адмовіцца прапусціць яго. Быць пад наглядам — не тое ж, што быць пад наглядам нікога: вы перамясцілі назіральніка, а не выдалілі яго.

Раздвоенае тунеляванне і любая праграма, якая ігнаруе навязаны маршрут, ствараюць патокі па-за тунэлем, якія выглядаюць дакладна як раней. Менавіта гэтыя патокі ўважлівы назіральнік заўважае першымі, а табліца маршрутаў кліента паказвае, якія прызначэнні выключаныя.

Аператар на другім канцы трымае люстраное адлюстраванне гэтага выгляду: адрас выхаду, час, аб’ём і звычайна назвы сайтаў. Ваш правайдэр становіцца бокам з пунктам агляду, а гэта іншы абмен, чым нябачнасць. Выбраць правайдэра, якому давяраеце, — рэальнае рашэнне; назваць вынік неназіраным — не.

Вызначце, якая заява вам патрэбная

Запішыце патрабаванне ў адзін радок, перш чым кранаць кліент: схаваць змест, схаваць прызначэнні або схаваць сам факт падключэння. Змест ужо апрацоўваецца праз HTTPS разам з тунэлем, а прызначэнні патрабуюць рэзалвера і шляху, якія цалкам абыходзяць абсталяванне сайта.

Трэцяе патрабаванне — нязручнае, бо нешта ўсё яшчэ бачна падключана недзе, шыфраванае ці не. Ніякая налада кліента гэтага не змяняе. Калі патрабаванне і палітыка разыходзяцца, гэтая розніца належыць размове з тым, хто валодае палітыкай, а не опцыі кліента. Чалавек, які можа адказаць, — той, хто напісаў палітыку.