Šta lokalna mreža još uvijek vidi kroz vaš VPN

Tri posmatrača se stapaju u jedno pitanje kad neko pita da li VPN skriva njegov saobraćaj: mreža na koju je priključen, mašina u njegovim rukama i operater tunela. Svaki sazna nešto drugo, a tunel mijenja svaki od tih pogleda na drugačiji način. Korisno je ići u suprotnom smjeru i početi od tvrdnje koja se iznosi, jer tvrdnja je ono što mora izdržati provjeru. Odlučite koja vam tvrdnja treba, pa uporedite alate s njom.

Prva tvrdnja: niko ne može čitati saobraćaj

Počnite s najužom tvrdnjom: korisni sadržaj ostaje nečitljiv. Pasivni posmatrač na putu ne može vidjeti unutar TLS sesije, pa tunel malo dodaje stranici koja već koristi HTTPS i ništa ne dodaje protiv dvije krajnje tačke. Tvrdnju ruši onaj ko kontroliše uređaj, jer inspekcijski proksi prekida vezu i ponovo je potpisuje korijenom kojem mašina već vjeruje. Zato se katana i dalje pojavljuje dok lanac certifikata nosi ime organizacije koja je instalirala korijen.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

Na macOS-u taj niz ispisuje po jednu liniju subjekta za svaki certifikat u privjesku ključeva mašine, bez otvaranja prozora; na Windowsu certutil -store Root navodi isto spremište koje certlm.msc prikazuje grafički. Korijen koji pripada školi, poslodavcu ili proizvodu za mrežnu sigurnost jeste unos koji treba tražiti. Pronalaženje jednog dokazuje samo da je presretanje moguće, ne da se događa.

Šta možete učiniti u vezi s tim pitanje je politike, a ne tehnike. Uklanjanje profila ili inspekcijskog korijena s hardvera koji ne posjedujete obično krši ugovor o prihvatljivom korištenju, a sistem upravljanja to obično primijeti i ponovo primijeni, pa zahtjev da vlasnik uređaja ne smije čitati vaš saobraćaj traži drugi uređaj, a ne drugu postavku.

Druga tvrdnja: niko ne vidi kuda idete

Odredište je teža tvrdnja, jer se dva otkrivanja dogode prije nego što se stranica učita. Upit ide onom razrješivaču koji je sistem konfigurisan da koristi, a odgovor je vidljiv mreži koja ga nosi. Zatim TLS rukovanje nosi traženo ime servera otvoreno, osim ako Encrypted Client Hello nije podržan na oba kraja. Nijedno otkrivanje ne uključuje dešifrovanje, pa tunel ne utiče ni na jedno.

resolvectl status | grep -A2 "Link"
nslookup example.com

Koji se razrješivač zaista koristi određuje izloženost, i to se može mjeriti umjesto raspravljati. Na Linuxu resolvectl status ispisuje DNS servere po vezi, a njegov izlaz kaže da li odgovara razrješivač stranice ili onaj koji je gurnut. Windows odgovara na isto pitanje pomoću nslookup example.com, čiji je prvi blok izlaza DNS server koji je odgovorio.

Kad laptop pita razrješivač stranice prije nego što se tunel podigne, ili profil stigne bez zamjenskog servera pa stari ostane u upotrebi, administrator i dalje prikuplja imena hostova bez dešifrovanja ičega. Šifrovani DNS u pregledniku ili zaobilazi gurnuti razrješivač, ili biva potpuno blokiran i zataji zatvoreno. Izlazni operater vidi ista imena sa svoje strane. Zato promjena razrješivača ne pomjera to otkrivanje od davatelja tunela.

Treća tvrdnja: niko ne zna da ste se povezali

Treća tvrdnja je ona koju tunel ne može podržati, jer paketi i dalje prelaze lokalnu mrežu. Ta mreža sazna adresu krajnje tačke, približni obim, vrijeme i postojanje jedne dugotrajne šifrovane sesije, što je dovoljno da blokira, ograniči ili jednostavno primijeti. Vatrozid koji ne može pročitati paket ipak može odbiti da ga propusti. Biti posmatran nije isto kao da vas niko ne posmatra: pomjerili ste posmatrača, niste ga izbrisali.

Podijeljeno tuneliranje i svaka aplikacija koja ignorira gurnutu rutu stvaraju tokove izvan tunela koji izgledaju tačno kao prije. Upravo te tokove pažljiv posmatrač prvi primijeti, a klijentova tabela ruta pokazuje koja su odredišta isključena.

Operater na drugom kraju drži zrcalnu sliku tog pogleda: izlaznu adresu, vrijeme, obim i obično imena stranica. Vaš davatelj postaje strana s vidikovcem, što je drugačija pogodba od nevidljivosti. Izabrati davatelja kojem vjerujete prava je odluka; nazvati rezultat neposmatranim nije.

Odlučite koja vam tvrdnja treba

Zapišite zahtjev u jednom redu prije nego što dotaknete klijenta: sakrijte sadržaj, sakrijte odredišta ili sakrijte da li ste se uopšte povezali. Sadržaj već rješavaju HTTPS i tunel, dok odredišta traže razrješivač i put koji potpuno zaobilaze opremu stranice.

Treći je zahtjev neugodan, jer je nešto i dalje vidljivo povezano negdje, šifrovano ili ne. Nikakva klijentska postavka to ne mijenja. Ako se zahtjev i politika razilaze, taj jaz pripada razgovoru s onim ko posjeduje politiku, a ne opciji u klijentu. Osoba koja može odgovoriti je ona koja je napisala politiku.