Mae canfod VPN yn dibynnu ar ble rydych chi’n gwylio

Gall dau dditectiwr wylio’r un defnyddiwr ac anghytuno, y ddau yn gywir. Mae arsylwr wrth ymyl y cyswllt mynediad yn gweld sgwrs allanol y VPN; mae’r wefan yn gweld y cysylltiad cymhwysiad yn cyrraedd o’r allanfa. Mae’r rhain yn gysylltiadau gwahanol â bysbrintiau gwahanol, ac nid yw tystiolaeth o’r naill yn trosglwyddo i’r llall. Enwi’r pwynt arsylwi cyn trafod unrhyw brawf TLS neu TCP yw’r hyn sy’n rhoi ystyr i’r honiad.

Mae ditectiwr heb bwynt arsylwi nodedig yn disgrifio barn yn hytrach na mesuriad.

Dau bwynt arsylwi, dau gysylltiad gwahanol

Mae’r sgwrs allanol yn perthyn i brotocol y twnnel: ei fformatau negeseuon ei hun, ei beiriant cyflwr ei hun, ei amseru ei hun. Y cysylltiad mewnol yw’r porwr yn agor TLS i’r wefan, yn cael ei gario drwy’r twnnel ac yna ei anfon ymlaen o’r allanfa. Mae’r ddau yn bodoli ar yr un pryd ac nid ydynt yr un llif. Un yw’r hyn y gall rhwydwaith mynediad ei weld, y llall yw’r hyn y gall y gyrchfan ei weld, ac mae blwch canol sy’n terfynu’r naill neu’r llall yn newid y ddwy ddelwedd.

Mae’r gwahaniaeth hwnnw’n esbonio’r rhan fwyaf o’r dryswch mewn trafodaethau canfod. Mae prawf sy’n adrodd un peth am lif yn aml yn ateb cwestiwn am haen wahanol i’r un yr oedd y gweithredwr yn ei feddwl.

Yr hyn y mae arsylwr y llwybr mynediad yn ei weld

Wrth ymyl y cyswllt mynediad, y deunydd gweladwy yw protocol y twnnel ei hun: mathau pecyn rheoli a data ar gyfer OpenVPN, patrymau maint sefydlog ysgwyd llaw a data WireGuard, neu ba bynnag lapio y mae’r defnydd yn ei ychwanegu. Mae a all dosbarthwr eu hadnabod yn dibynnu ar yr hyn sy’n weladwy, pa gludydd sy’n eu cario ac a oes cymylu ychwanegol. Mae patrwm adnabyddadwy yn dystiolaeth am lif, ac nid yn dystiolaeth am hunaniaeth na bwriad y person y tu ôl iddo.

Mae porth 443 yn gonfensiwn ar gyfer cyrraedd gwasanaeth. Nid yw’n troi pob cludydd twnelu yn HTTPS.

Yr hyn y mae’r wefan yn ei weld mewn gwirionedd

Gyda thwnnel wedi’i lwybro, mae’r porwr yn dal i gynnal ei sesiwn TLS ei hun gyda’r safle. Nid yw cyfieithu yn yr allanfa yn troi’r porth VPN yn derfynell TLS y porwr, felly mae’r ClientHello y mae’r safle yn ei dderbyn yn disgrifio’r porwr neu ei lyfrgell TLS. Felly mae bysbrint ar ffurf JA3 yn nodweddu’r cysylltiad cymhwysiad, nid y meddalwedd VPN sy’n ei gario. Dim ond dirprwy sy’n terfynu’n fwriadol sy’n newid y trefniant hwnnw, ac mae’n rhaid ei adnabod ar wahân.

Mae arsylwadau TCP angen yr un gofal. Mae anfon ymlaen, cyfieithu a dirprwy sy’n dechrau cysylltiad newydd yn dri chynllun gwahanol, a dim ond un ohonynt sy’n ailysgrifennu’r pentwr cludo. Nid yw un nodwedd anarferol yn awgrymu twnnel yn unigryw.

Cadwch yr honiad o fewn y dystiolaeth

Mae dosbarthu rhwydwaith, arsylwi protocol, bysbrintiau cymhwysiad a signalau cyfrif yn fewnbynnau i benderfyniad risg, pob un â ffug bositifau, ffug negatifau a thystiolaeth ar goll. Nid yw cyfeiriad mewn ystod lletya yn profi unrhyw beth am VPN masnachol, ac nid yw bysbrint porwr cyffredin yn profi unrhyw beth am un uniongyrchol. Pan fyddwch yn gwerthuso ditectiwr, defnyddiwch set ddata awdurdodedig â llwybrau hysbys a chofnodwch pa arsylwi a gynhyrchodd bob canlyniad.

Cadwch ddosbarthiad protocol ar wahân i benderfyniad mynediad canlyniadol. Nid yw ymateb wedi’i deilwra na thrîc pecyn camffurfiad yn dilysu’r casgliad y tu ôl iddo; mae’n rhoi pwysau ar ddyfaliad yn unig.

Mae adroddiad defnyddiol yn enwi’r arsylwi, y pwynt arsylwi a’r hyder. Mae llinell noeth «VPN wedi’i ganfod» yn cuddio’n union y rhan a fyddai’n gadael i rywun ei wirio.