Može li mreža blokirati vaš VPN, a da ne slomi enkripciju?
Enkripcija štiti sadržaj, ne dostavu. Uporedite crne liste, bijele liste i prekide, pa pitajte šta jedno opažanje zaista može podržati.
Nijednom operateru ne treba sesijski ključ da zaustavi tunel: odbacite pakete na putu i on pada, dok kriptografija ostaje tačno onoliko jaka koliko je njen dizajn obećao. Enkripcija štiti ono što razgovor nosi, a ne spremnost bilo koje mreže da ga nosi. Razdvajanje tih dvaju svojstava pretvara raspravu o neblokiranosti u pitanje koja je politika na snazi i dokle seže. Poređenje ispod drži dostupnost i povjerljivost odvojeno, jer većina sigurnih tvrdnji o blokiranju VPN-a tiho ih spaja.
Dostupnost je odluka koju donosi put
Svaki transport zavisi od puta koji prosljeđuje pakete, a svako pitanje politike ovdje svodi se na tu odluku o prosljeđivanju. Pravilo koje odbacuje pakete mijenja dostupnost ne dirajući povjerljivost, i tako tunel može biti besprijekorno enkriptovan i potpuno neupotrebljiv u istom trenutku. Ništa u tom ishodu ne zahtijeva razbijanje šifre ili oporavak ključa. Zahtijeva samo kontrolu nad putem.
Zabuna obično počinje time što dva svojstva dijele jednu riječ. Jaka kriptografija govori ko može čitati tok; ne govori ništa o tome hoće li ga posredni uređaj propustiti. Tvrdnja da se VPN ne može blokirati zato traži drugu tvrdnju ispod sebe, naime da niko na putu nije spreman odbaciti pakete.
Stilovi provođenja i cijena svakog
Tri stila pokrivaju većinu stvarnih politika, a razlikuju se po tome šta moraju znati, koliko košta njihovo vođenje i ko još trpi. Svaki od njih može odbiti tunel bez dešifrovanja bilo čega. Razlike su važne jer se ista riječ, blokiranje, koristi za sva tri.
| Style | Default | What it must know | Who else is affected |
|---|---|---|---|
| Blocklist | Allow, minus listed destinations | Addresses and ports of known endpoints | Unrelated tenants on a listed address |
| Allowlist | Deny, plus approved destinations | A maintained definition of permitted traffic | Anything outside the approved set |
| Shutdown | Deny broadly for a period | Nothing about the protocol | Ordinary services along the same path |
Ta tabela je mapa troškova, a ne rangiranje. Crna lista je jeftina za početak i skupa za održavanje tačnosti; bijela lista mijenja otkrivanje za održavanje dozvoljenog skupa, a prekid ne traži nikakvu klasifikaciju. Ono što ih razdvaja nije tehnička profinjenost nego to gdje svaki od njih stavlja trajni napor. Politika koja na papiru izgleda jednostavno obično negdje drugdje ima skrivenu stavku održavanja.
Crna lista ograničena je time koliko dobro adresa imenuje uslugu
Crna lista odbija odredišta koja su već identifikovana, a ostala ostavlja uglavnom dostupnim. Za provođenje su joj potrebne adrese i portovi, a ne čisti tekst, i to je čini jeftinom za rad na početku. Trošak dolazi kasnije, jer raspon koji je nekada označavao jednog provajdera može poslije ugostiti desetak nepovezanih zakupaca. Svaka promjena adrese prisiljava na izmjenu liste, a svaki zastario unos nosi sa sobom nevin saobraćaj.
Preciznost je na ovom modelu ograničena time koliko dobro odredište identifikuje uslugu, a zauzeta zajednička krajnja tačka je loš identifikator. To je strukturno ograničenje, a ne nedostatak implementacije, pa ga bolji alati ne uklanjaju. To objašnjava i zašto crne liste teže rastu: svaka nova krajnja tačka izgleda kao malo dodavanje, a kolateralna šteta raste zajedno s listom.
Bijela lista premješta teret održavanja
Bijela lista obrće podrazumijevano stanje tako da prolaze samo unaprijed odabrana odredišta ili vrste saobraćaja. Ne mora nabrajati svaku zabranjenu krajnju tačku, što pomaže kada je zabranjeni skup velik ili se brzo mijenja. Ono što joj treba jest održavana definicija dozvoljenog, plus provođenje koje se s tom definicijom poklapa.
Brojevi portova su uobičajena slaba tačka u takvoj definiciji. Dozvoliti port nije isto što i identifikovati svaku aplikaciju koja ga može koristiti, pa bijela lista zasnovana na portovima često propušta više nego što je njen autor namjeravao. Otisci protokola imaju isti problem iz drugog ugla, jer identifikuju oblik saobraćaja, a ne namjeru. Bijela lista zato nije automatski preciznija od crne; ona je precizna u pogledu nečeg drugog.
Šta jedno opažanje može podržati, a šta ne
Svaku tvrdnju o blokiranju treba čitati s četiri pitanja u ruci: koje pristupne mreže, koja odredišta, koji protokoli i koji period posmatranja. Neuspjeh viđen danas na jednoj mobilnoj mreži ne govori ništa o istoj krajnjoj tački sutra s druge mreže. Ni tunel koji je jednom radio ne govori ništa o trajnoj dostupnosti.
Oblik neuspjeha može se posmatrati prije nego što teoretišete o njegovom uzroku. Tiho visenje, trenutno odbijanje i reset nakon povezivanja upućuju na različite stilove provođenja, a dvije komande ih razdvajaju:
curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.comVisenje koje završi istekom vremena ukazuje na tiho odbacivanje, brzo odbijanje na uređaj koji odbija na putu, a reset nakon povezivanja na smetnju sa stanjem, a ne na nedostajuću rutu. Pregled tehnika cenzure RFC 9505 opisuje kontrolne tačke i obrasce smetnji iza tih oblika. Nijedan od njih, međutim, ne kaže koliko široko se politika primjenjuje. Trajnost je jača tvrdnja od dostupnosti: krajnje tačke, softver, politike i dozvoljene usluge sve se mijenjaju, pa neograničena djelotvornost traži pretpostavke o nastavku provođenja, a ne spisak adresa viđenih u jednom trenutku.