Otkrivanje VPN-a zavisi od toga odakle gledate

Dva detektora mogu posmatrati istog korisnika i ne slagati se, a oba mogu biti u pravu. Posmatrač uz pristupnu vezu vidi vanjski razgovor VPN-a; web stranica vidi aplikacijsku vezu koja dolazi s izlaza. To su različite veze s različitim otiscima, a dokaz s jedne ne prenosi se na drugu. Imenovanje tačke posmatranja prije rasprave o bilo kojem TLS ili TCP testu čini tvrdnju smislenom.

Detektor bez navedene tačke posmatranja opisuje mišljenje, a ne mjerenje.

Dvije tačke posmatranja, dvije različite veze

Vanjski razgovor pripada protokolu tunela: vlastiti formati poruka, vlastita mašina stanja, vlastito vrijeme. Unutrašnja veza je preglednik koji otvara TLS prema stranici, prenosi se kroz tunel i zatim prosljeđuje s izlaza. Oba postoje u istom trenutku i nisu isti tok. Jedno je ono što pristupna mreža može vidjeti, drugo ono što odredište može vidjeti, a posredni uređaj koji prekida bilo koje od njih mijenja obje slike.

Ta razlika objašnjava većinu zabune u raspravama o otkrivanju. Test koji izvještava jedno o toku često odgovara na pitanje o drugom sloju od onog koji je operator imao na umu.

Šta posmatrač na pristupnom putu vidi

Uz pristupnu vezu vidljivi materijal je sam protokol tunela: tipovi kontrolnih i podatkovnih paketa za OpenVPN, fiksne veličine rukovanja i obrasci podataka WireGuarda ili bilo koji omotač koji uvodi implementacija. Može li ih klasifikator identificirati zavisi od toga šta je vidljivo, koji transport ih nosi i postoji li dodatna obfuskacija. Prepoznatljiv obrazac dokaz je o toku, a ne dokaz o identitetu ili namjeri osobe iza njega.

Port 443 je konvencija za dosezanje usluge. Ona ne čini svaki tunelski transport HTTPS-om.

Šta web stranica zapravo vidi

S usmjerenim tunelom preglednik i dalje vodi vlastitu TLS sesiju sa stranicom. Prevođenje na izlazu ne pretvara VPN mrežni prolaz u TLS krajnju tačku preglednika, pa ClientHello koji stranica primi opisuje preglednik ili njegovu TLS biblioteku. Otisak u stilu JA3 stoga karakteriše aplikacijsku vezu, a ne VPN softver koji je nosi. Samo proxy koji namjerno prekida vezu mijenja taj raspored, i on mora biti posebno identificiran.

TCP posmatranja traže istu pažnju. Prosljeđivanje, prevođenje i proxy koji otvara novu vezu tri su različita dizajna, a samo jedan od njih prepisuje transportni stek. Jedna neobična karakteristika ne implicira jedinstveno tunel.

Držite tvrdnju unutar dokaza

Mrežna klasifikacija, posmatranje protokola, otisci aplikacija i signali računa ulazi su u odluku o riziku, svaki s lažnim pozitivima, lažnim negativima i nedostajućim dokazima. Adresa u hosting rasponu ne dokazuje ništa o komercijalnom VPN-u, a uobičajen otisak preglednika ne dokazuje ništa o direktnom. Kada procjenjujete detektor, koristite odobreni skup podataka s poznatim putanjama i zabilježite koje je posmatranje dalo svaki rezultat.

Držite klasifikaciju protokola odvojeno od odluke o pristupu s posljedicama. Prilagođeni odgovor ili trik s deformisanim paketom ne potvrđuje zaključak iza njega; on samo vrši pritisak na pretpostavku.

Koristan izvještaj imenuje posmatranje, tačku posmatranja i pouzdanost. Goli red «VPN otkriven» krije upravo dio koji bi nekome omogućio da to provjeri.