VPN-registrering afhænger af, hvor du kigger fra

To detektorer kan overvåge den samme bruger og være uenige, og begge kan have ret. En observatør ved adgangsforbindelsen ser VPN'ens ydre samtale; webstedet ser den applikationsforbindelse, der ankommer fra udgangen. Det er forskellige forbindelser med forskellige fingeraftryk, og beviser fra den ene overføres ikke til den anden. At navngive observationspunktet, før man diskuterer en hvilken som helst TLS- eller TCP-test, er det, der gør påstanden meningsfuld.

En detektor uden et angivet observationspunkt beskriver en mening snarere end en måling.

To observationspunkter, to forskellige forbindelser

Den ydre samtale tilhører tunnelprotokollen: egne meddelelsesformater, egen tilstandsmaskine, egen timing. Den indre forbindelse er browseren, der åbner TLS til webstedet, båret gennem tunnelen og derefter videresendt fra udgangen. Begge findes i samme øjeblik, og de er ikke den samme strøm. Den ene er, hvad et adgangsnetværk kan se, den anden er, hvad destinationen kan se, og en mellemboks, der terminerer en af dem, ændrer begge billeder.

Forskellen forklarer det meste af forvirringen i diskussioner om registrering. En test, der rapporterer én ting om en strøm, svarer ofte på et spørgsmål om et andet lag, end operatøren havde i tankerne.

Hvad observatøren på adgangsvejen ser

Ved adgangsforbindelsen er det synlige materiale selve tunnelprotokollen: kontrol- og datapakkettyper for OpenVPN, WireGuards håndtryks- og datamønstre i fast størrelse eller hvilken som helst indpakning, som udrulningen tilføjer. Om en klassifikator kan identificere dem, afhænger af, hvad der er synligt, hvilken transport der bærer det, og om der er yderligere sløring. Et genkendeligt mønster er bevis om en strøm, og ikke bevis om identiteten eller hensigten hos personen bag den.

Port 443 er en konvention for at nå en tjeneste. Det gør ikke enhver tunneltransport til HTTPS.

Hvad webstedet faktisk ser

Med en routet tunnel kører browseren stadig sin egen TLS-session med webstedet. Oversættelse ved udgangen gør ikke VPN-gatewayen til browserens TLS-endepunkt, så det ClientHello, som webstedet modtager, beskriver browseren eller dens TLS-bibliotek. Et JA3-lignende fingeraftryk karakteriserer derfor applikationsforbindelsen, ikke den VPN-software, der bærer den. Kun en proxy, der bevidst terminerer, ændrer denne ordning, og den skal identificeres separat.

TCP-observationer kræver samme omhu. Videresendelse, oversættelse og en proxy, der starter en ny forbindelse, er tre forskellige designs, og kun ét af dem omskriver transportstakken. Et enkelt usædvanligt kendetegn antyder ikke entydigt en tunnel.

Hold påstanden inden for beviserne

Netværksklassifikation, protokolobservation, applikationsfingeraftryk og kontosignaler er input til en risikobeslutning, hver med falske positiver, falske negativer og manglende beviser. En adresse i et hostingområde beviser intet om en kommerciel VPN, og et almindeligt browserfingeraftryk beviser intet om en direkte. Når du vurderer en detektor, brug et autoriseret datasæt med kendte veje, og registrér, hvilken observation der gav hvert resultat.

Hold protokolklassifikation adskilt fra en adgangsbeslutning med konsekvenser. Et tilpasset svar eller et trick med fejlformede pakker validerer ikke slutningen bag det; det lægger blot pres på en formodning.

En brugbar rapport navngiver observationen, observationspunktet og sikkerheden. En nøgen linje med «VPN registreret» skjuler netop den del, der ville lade nogen kontrollere det.