Què continua veient la xarxa local a través de la teva VPN

Tres observadors es fonen en una sola pregunta quan algú pregunta si una VPN amaga el seu trànsit: la xarxa a què està connectat, la màquina que té a les mans i l’operador del túnel. Cadascun aprèn una cosa diferent, i el túnel canvia cadascuna d’aquestes visions d’una manera diferent. Val la pena treballar en la direcció contrària i començar per l’afirmació que es fa, perquè l’afirmació és el que ha de sobreviure a l’escrutini. Decideix quina afirmació necessites i després compara les eines amb ella.

Primera afirmació: ningú no pot llegir el trànsit

Comença per l’afirmació més estreta: la càrrega útil continua sent il·legible. Un observador passiu al camí no pot veure dins d’una sessió TLS, així que el túnel afegeix poc a un lloc que ja fa servir HTTPS i no afegeix res contra els dos extrems. Qui trenca aquesta afirmació és qui controla el dispositiu, perquè un proxy d’inspecció acaba la connexió i la torna a signar amb una arrel en què la màquina ja confia. Per això el cadenat encara apareix mentre la cadena de certificats porta el nom de l’organització que va instal·lar l’arrel.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

A macOS aquesta canonada imprimeix una línia de subjecte per a cada certificat del clauer de la màquina, sense obrir cap finestra; a Windows, certutil -store Root llista el mateix magatzem que certlm.msc mostra gràficament. Una arrel que pertany a una escola, a un ocupador o a un producte de seguretat de xarxa és l’entrada que cal buscar. Trobar-ne una només demostra que la intercepció és possible, no que estigui passant.

Què pots fer-hi és una qüestió de política, no pas tècnica. Treure un perfil o una arrel d’inspecció d’un maquinari que no és teu normalment incompleix l’acord d’ús acceptable, i el sistema de gestió sol adonar-se’n i tornar-lo a aplicar, així que exigir que el propietari del dispositiu no llegeixi el teu trànsit necessita un altre dispositiu, no un altre paràmetre.

Segona afirmació: ningú no veu on vas

La destinació és l’afirmació més difícil, perquè es produeixen dues revelacions abans que carregui una pàgina. La consulta va al resolutor que el sistema té configurat, i la resposta és visible per a la xarxa que la transporta. Després l’apretada de mans TLS porta el nom del servidor sol·licitat en clar, tret que Encrypted Client Hello estigui admès als dos extrems. Cap de les dues revelacions no implica desxifrar, així que el túnel no hi té cap efecte.

resolvectl status | grep -A2 "Link"
nslookup example.com

Quin resolutor s’utilitza realment decideix l’exposició, i es pot mesurar en lloc de discutir. A Linux, resolvectl status imprimeix els servidors DNS per enllaç, i la seva sortida et diu si respon el resolutor del lloc o el que s’ha empès. Windows respon la mateixa pregunta amb nslookup example.com, el primer bloc de la sortida del qual és el servidor DNS que ha respost.

Quan l’ordinador portàtil consulta el resolutor del lloc abans que el túnel s’aixequi, o el perfil arriba sense un servidor de substitució i el vell continua en ús, l’administrador encara recull noms d’amfitrió sense desxifrar res. L’DNS xifrat del navegador o bé evita el resolutor empès o bé queda bloquejat del tot i falla tancat. L’operador de sortida veu els mateixos noms des del seu costat. Per tant, canviar el resolutor no allunya aquesta revelació del proveïdor del túnel.

Tercera afirmació: ningú no sap que t’has connectat

La tercera afirmació és la que un túnel no pot sostenir, perquè els paquets continuen travessant la xarxa local. Aquesta xarxa aprèn l’adreça del punt final, el volum aproximat, el moment i l’existència d’una sessió xifrada de llarga durada, cosa que n’hi ha prou per bloquejar, limitar o simplement adonar-se’n. Un tallafoc que no pot llegir un paquet encara pot negar-se a deixar-lo passar. Estar vigilat no és el mateix que no ser vigilat per ningú: has mogut l’observador, no l’has esborrat.

El túnel dividit, i qualsevol aplicació que ignori la ruta empesa, produeixen fluxos fora del túnel que semblen exactament com abans. Aquests són els fluxos que un observador atent nota primer, i la taula de rutes del client mostra quines destinacions queden excloses.

L’operador de l’altre extrem té la imatge mirall d’aquesta vista: adreça de sortida, moment, volum i normalment els noms dels llocs. El teu proveïdor es converteix en la part amb el punt de vista, cosa que és un altre pacte que la invisibilitat. Triar un proveïdor en qui confies és una decisió real; anomenar el resultat no observat, no.

Decideix quina afirmació necessites

Escriu el requisit en una línia abans de tocar cap client: amaga el contingut, amaga les destinacions o amaga si t’has connectat. El contingut ja el resolen HTTPS i el túnel, mentre que les destinacions requereixen un resolutor i un camí que evitin del tot l’equipament del lloc.

El tercer requisit és l’incòmode, perquè alguna cosa continua visiblement connectada en algun lloc, xifrada o no. Cap paràmetre del client no ho canvia. Si el requisit i la política se separen, aquesta escletxa pertany a una conversa amb qui posseeix la política, no a una opció del client. Qui pot respondre-ho és qui va escriure la política.