Detekce VPN závisí na tom, odkud se díváte

Dva detektory mohou sledovat stejného uživatele a nesouhlasit, oba správně. Pozorovatel u přístupového spoje vidí vnější konverzaci VPN; web vidí aplikační spojení přicházející z výstupu. Jsou to různá spojení s různými otisky a důkaz z jednoho se na druhé nepřenáší. Pojmenovat pozorovací bod před diskusí o jakémkoli testu TLS nebo TCP je to, co tvrzení dává smysl.

Detektor bez uvedeného pozorovacího bodu popisuje názor, nikoli měření.

Dva pozorovací body, dvě různá spojení

Vnější konverzace patří tunelovému protokolu: vlastní formáty zpráv, vlastní stavový stroj, vlastní časování. Vnitřní spojení je prohlížeč otevírající TLS k webu, nesený tunelem a poté předávaný z výstupu. Obě existují ve stejný okamžik a nejsou stejným tokem. Jedno je to, co může vidět přístupová síť, druhé to, co může vidět cíl, a mezilehlé zařízení, které ukončí kterékoli z nich, mění oba obrazy.

Tento rozdíl vysvětluje většinu zmatku v diskusích o detekci. Test, který o toku hlásí jednu věc, často odpovídá na otázku o jiné vrstvě, než měl operátor na mysli.

Co vidí pozorovatel na přístupové cestě

U přístupového spoje je viditelným materiálem samotný tunelový protokol: typy řídicích a datových paketů pro OpenVPN, pevné vzory handshake a dat WireGuardu nebo jakýkoli obal, který nasazení přidá. Zda je klasifikátor dokáže identifikovat, závisí na tom, co je viditelné, který transport je nese a zda je přítomno dodatečné zastírání. Rozpoznatelný vzor je důkazem o toku, nikoli důkazem o identitě či záměru člověka za ním.

Port 443 je konvence pro dosažení služby. Nedělá z každého tunelového transportu HTTPS.

Co web skutečně vidí

U směrovaného tunelu prohlížeč stále vede vlastní relaci TLS s webem. Překlad na výstupu nepromění VPN bránu v koncový bod TLS prohlížeče, takže ClientHello, který web obdrží, popisuje prohlížeč nebo jeho TLS knihovnu. Otisku ve stylu JA3 tedy charakterizuje aplikační spojení, nikoli VPN software, který je nese. Jen záměrně ukončující proxy tuto úpravu mění a musí být identifikována samostatně.

TCP pozorování vyžadují stejnou péči. Předávání, překlad a proxy, které otevírá nové spojení, jsou tři různé návrhy a jen jeden z nich přepisuje transportní zásobník. Jedna neobvyklá vlastnost sama o sobě tunel neznamená.

Držte tvrzení uvnitř důkazů

Síťová klasifikace, pozorování protokolů, aplikační otisky a signály účtu jsou vstupy pro rozhodnutí o riziku, každý s falešnými pozitivy, falešnými negativy a chybějícími důkazy. Adresa v hostovacím rozsahu nic nedokazuje o komerčním VPN a běžný otisk prohlížeče nic nedokazuje o přímém. Když hodnotíte detektor, použijte autorizovanou datovou sadu se známými cestami a zaznamenejte, které pozorování dalo každý výsledek.

Držte klasifikaci protokolu oddělenou od rozhodnutí o přístupu s následky. Vlastní odpověď nebo trik s deformovaným paketem nepotvrzuje úsudek za ním; jen vyvíjí tlak na domněnku.

Užitečná zpráva pojmenuje pozorování, pozorovací bod a míru jistoty. Holý řádek „VPN zjištěno“ skrývá právě tu část, která by někomu umožnila to ověřit.