Yr hyn y mae’r rhwydwaith lleol yn dal i’w weld drwy eich VPN

Mae tri arsylwr yn cael eu plygu’n un cwestiwn pryd bynnag y bydd rhywun yn gofyn a yw VPN yn cuddio ei draffig: y rhwydwaith y mae wedi’i gysylltu ag ef, y peiriant yn ei ddwylo, a gweithredwr y twnnel. Mae pob un yn dysgu rhywbeth gwahanol, ac mae’r twnnel yn newid pob un o’r safbwyntiau hynny mewn ffordd wahanol. Mae’n helpu i weithio i’r cyfeiriad arall a dechrau o’r honiad sy’n cael ei wneud, oherwydd yr honiad yw’r peth sy’n gorfod goroesi craffu. Penderfynwch pa honiad sydd ei angen arnoch, yna cymharwch offer ag ef.

Honiad un: ni all neb ddarllen y traffig

Dechreuwch gyda’r honiad culaf: mae’r llwyth yn aros yn annarllenadwy. Ni all arsylwr goddefol ar y llwybr weld y tu mewn i sesiwn TLS, felly ychydig y mae’r twnnel yn ei ychwanegu at safle sy’n defnyddio HTTPS yn barod, ac nid yw’n ychwanegu dim yn erbyn y ddau ben. Y parti sy’n torri’r honiad hwn yw pwy bynnag sy’n rheoli’r ddyfais, oherwydd mae procsi arolygu’n terfynu’r cysylltiad ac yn ei ail-lofnodi â gwraidd y mae’r peiriant yn ymddiried ynddo’n barod. Dyna pam y mae’r clo yn dal i ymddangos tra bo’r gadwyn dystysgrifau’n cario enw’r sefydliad a osododd y gwraidd.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

Ar macOS mae’r bibell honno’n argraffu un llinell pwnc ar gyfer pob tystysgrif yng nghadwyn allweddi’r peiriant, heb agor ffenestr; ar Windows mae certutil -store Root yn rhestru’r un storfa ag y mae certlm.msc yn ei dangos yn graffig. Gwraidd sy’n perthyn i ysgol, i gyflogwr neu i gynnyrch diogelwch rhwydwaith yw’r cofnod i chwilio amdano. Mae dod o hyd i un yn profi dim ond bod rhyng-gipio’n bosibl, nid ei fod yn digwydd.

Mater o bolisi yn hytrach na mater technegol yw’r hyn y gallwch ei wneud yn ei gylch. Mae tynnu proffil neu wraidd arolygu oddi ar galedwedd nad yw’n eiddo i chi fel arfer yn torri’r cytundeb defnydd derbyniol, ac mae’r system reoli’n tueddu i sylwi ac ailgymhwyso hynny, felly mae angen dyfais wahanol, nid gosodiad gwahanol, ar y gofyniad na ddylai perchennog y ddyfais ddarllen eich traffig.

Honiad dau: ni all neb weld i ble rydych yn mynd

Y gyrchfan yw’r honiad anoddach, oherwydd mae dau ddatguddiad yn digwydd cyn i dudalen lwytho. Mae ymholiad yn mynd i ba bynnag ddatryswr y mae’r system wedi’i ffurfweddu i’w ddefnyddio, ac mae’r ateb yn weladwy i’r rhwydwaith sy’n ei gario. Yna mae ysgwyd llaw TLS yn cario enw’r gweinydd y gofynnwyd amdano yn glir oni bai bod Encrypted Client Hello yn cael ei gefnogi ar y ddau ben. Nid yw’r naill ddatguddiad na’r llall yn cynnwys dadgryptio, felly nid oes gan y twnnel unrhyw effaith ar y naill na’r llall.

resolvectl status | grep -A2 "Link"
nslookup example.com

Pa ddatryswr sy’n cael ei ddefnyddio mewn gwirionedd sy’n penderfynu’r amlygiad, a gellir ei fesur yn lle dadlau amdano. Ar Linux mae resolvectl status yn argraffu’r gweinyddion DNS fesul cyswllt, ac mae ei allbwn yn dweud wrthych ai datryswr y safle neu’r un a wthiwyd sy’n ateb. Mae Windows yn ateb yr un cwestiwn gyda nslookup example.com, a’i floc cyntaf o allbwn yw’r gweinydd DNS a atebodd.

Pan fo’r gliniadur yn holi datryswr y safle cyn i’r twnnel godi, neu’r proffil yn cyrraedd heb weinydd cyfnewid felly bod yr hen un yn parhau mewn defnydd, mae’r gweinyddwr yn dal i gasglu enwau gwesteiwyr heb ddadgryptio dim. Mae DNS wedi’i amgryptio yn y porwr naill ai’n osgoi’r datryswr a wthiwyd neu’n cael ei rwystro’n llwyr ac yn methu ar gau. Mae gweithredwr yr allanfa yn gweld yr un enwau o’i ochr. Felly nid yw newid y datryswr yn symud y datguddiad hwnnw oddi wrth ddarparwr y twnnel.

Honiad tri: ni ŵyr neb eich bod wedi cysylltu

Y trydydd honiad yw’r un na all twnnel ei gefnogi, oherwydd mae’r pecynnau’n dal i groesi’r rhwydwaith lleol. Mae’r rhwydwaith hwnnw’n dysgu cyfeiriad y pen draw, y cyfaint bras, yr amseriad, ac undod un sesiwn amgryptiedig hirhoedlog, sy’n ddigon i rwystro, i lesteirio neu i sylwi’n syml. Gall mur cadarn na all ddarllen pecyn wrthod ei basio o hyd. Nid yw cael eich gwylio yr un fath â neb yn eich gwylio: symudoch chi’r arsylwr, ni wnaethoch ei ddileu.

Mae twnelu hollt, ac unrhyw raglen sy’n anwybyddu’r llwybr a wthiwyd, yn cynhyrchu ffrydiau y tu allan i’r twnnel sy’n edrych yn union fel o’r blaen. Y ffrydiau hynny yw’r rhai y mae arsylwr gofalus yn sylwi arnynt gyntaf, ac mae tabl llwybrau’r cleient yn dangos pa gyrchfannau sydd wedi’u heithrio.

Mae’r gweithredwr yn y pen arall yn dal delwedd drych o’r olygfa honno: cyfeiriad allanfa, amseriad, cyfaint, ac fel arfer enwau’r safleoedd. Eich darparwr sy’n dod yn barti â’r fan fanteisiol, sy’n fargen wahanol i anweledigaeth. Mae dewis darparwr rydych yn ymddiried ynddo yn benderfyniad go iawn; nid yw galw’r canlyniad yn un heb ei arsylwi.

Penderfynwch pa honiad sydd ei angen arnoch

Ysgrifennwch y gofyniad mewn un llinell cyn cyffwrdd â chleient: cuddio’r cynnwys, cuddio’r cyrchfannau, neu guddio a wnaethoch gysylltu o gwbl. Mae HTTPS ynghyd â’r twnnel eisoes yn trin cynnwys, tra bo cyrchfannau angen datryswr a llwybr sy’n osgoi offer y safle’n llwyr.

Y trydydd gofyniad yw’r un anghyfleus, oherwydd mae rhywbeth yn dal i fod yn gysylltiedig yn weladwy yn rhywle, wedi’i amgryptio neu beidio. Nid oes unrhyw osodiad cleient yn newid hynny. Os yw’r gofyniad a’r polisi’n tynnu ar wahân, mae’r bwlch hwnnw’n perthyn i sgwrs â pherchennog y polisi, nid i opsiwn cleient. Y person a all ei ateb yw’r un a ysgrifennodd y polisi.