Hvad det lokale netværk stadig ser gennem din VPN

Tre observatører smeltes sammen til ét spørgsmål, hver gang nogen spørger, om en VPN skjuler deres trafik: netværket, de er tilsluttet, maskinen i deres hænder og operatøren af tunnelen. Hver af dem lærer noget forskelligt, og tunnelen ændrer hvert af disse syn på en forskellig måde. Det hjælper at arbejde i den modsatte retning og starte fra den påstand, der fremsættes, for påstanden er det, der skal holde til granskning. Beslut, hvilken påstand du har brug for, og sammenlign derefter værktøjer med den.

Første påstand: ingen kan læse trafikken

Begynd med den snævrest påstand: nyttelasten forbliver ulæselig. En passiv observatør på ruten kan ikke se ind i en TLS-session, så tunnelen tilføjer lidt til et websted, der allerede bruger HTTPS, og den tilføjer intet mod de to endepunkter. Den part, der bryder denne påstand, er den, der kontrollerer enheden, fordi en inspektionsproxy afslutter forbindelsen og signerer den igen med en rod, som maskinen allerede stoler på. Derfor vises hængelåsen stadig, mens certifikatkæden bærer navnet på den organisation, der installerede roden.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

På macOS udskriver den pipeline én subjektlinje for hvert certifikat i maskinens nøglering uden at åbne et vindue, og på Windows viser certutil -store Root det samme lager, som certlm.msc viser grafisk. En rod, der tilhører en skole, en arbejdsgiver eller et netværkssikkerhedsprodukt, er den post, du skal lede efter. At finde én beviser kun, at aflytning er mulig, ikke at den finder sted.

Hvad du kan gøre ved det, er et spørgsmål om politik snarere end teknik. At fjerne en profil eller en inspektionsrod fra hardware, du ikke ejer, bryder normalt aftalen om acceptabel brug, og administrationssystemet har en tendens til at opdage det og anvende det igen, så et krav om, at enhedens ejer ikke må læse din trafik, kræver en anden enhed snarere end en anden indstilling.

Anden påstand: ingen kan se, hvor du går hen

Destinationen er den sværere påstand, fordi to afsløringer sker, før en side indlæses. Et opslag går til den resolver, systemet er konfigureret til at bruge, og svaret er synligt for det netværk, der bærer det. Derefter bærer TLS-håndtrykket det ønskede servernavn i klartekst, medmindre Encrypted Client Hello understøttes i begge ender. Ingen af afsløringerne indebærer dekryptering, så tunnelen har ingen effekt på nogen af dem.

resolvectl status | grep -A2 "Link"
nslookup example.com

Hvilken resolver der faktisk bruges, afgør eksponeringen, og det kan måles i stedet for at diskuteres. På Linux udskriver resolvectl status DNS-serverne per link, og outputtet fortæller dig, om det er webstedets resolver eller den påtvungne, der svarer. Windows svarer på samme spørgsmål med nslookup example.com, hvis første blok af output er den DNS-server, der svarede.

Når laptoppen spørger webstedets resolver, før tunnelen kommer op, eller profilen ankommer uden en erstatningsserver, så den gamle forbliver i brug, indsamler administratoren stadig værtsnavne uden at dekryptere noget. Krypteret DNS i browseren omgår enten den påtvungne resolver eller bliver blokeret helt og fejler lukket. Udgangsoperatøren ser de samme navne fra sin side. At skifte resolver flytter derfor ikke den afsløring væk fra tunneludbyderen.

Tredje påstand: ingen ved, at du oprettede forbindelse

Den tredje påstand kan en tunnel ikke understøtte, fordi pakkerne stadig krydser det lokale netværk. Det netværk lærer slutpunktsadressen, det omtrentlige volumen, timingen og eksistensen af én langvarig krypteret session, hvilket er nok til at blokere, begrænse eller blot bemærke. En firewall, der ikke kan læse en pakke, kan stadig nægte at slippe den igennem. At blive overvåget er ikke det samme som at blive overvåget af ingen: du flyttede observatøren, du slettede den ikke.

Split tunnelling og enhver applikation, der ignorerer den påtvungne rute, skaber flows uden for tunnelen, der ser præcis ud som før. Det er de flows, en omhyggelig observatør bemærker først, og klientens rutetabel viser, hvilke destinationer der er udelukket.

Operatøren i den anden ende har spejlbilledet af det syn: udgangsadresse, timing, volumen og som regel webstedernes navne. Din udbyder bliver parten med udsigtspunktet, hvilket er en anden aftale end usynlighed. At vælge en udbyder, du stoler på, er en rigtig beslutning; at kalde resultatet uovervåget er det ikke.

Beslut, hvilken påstand du har brug for

Skriv kravet ned på én linje, før du rører en klient: skjul indholdet, skjul destinationerne, eller skjul, om du overhovedet oprettede forbindelse. Indhold håndteres allerede af HTTPS plus tunnelen, mens destinationer kræver en resolver og en rute, der helt omgår webstedets udstyr.

Det tredje krav er det akavede, fordi noget stadig er synligt forbundet et sted, krypteret eller ej. Ingen klientindstilling ændrer det. Hvis kravet og politikken trækker fra hinanden, hører det gab til en samtale med den, der ejer politikken, ikke til en klientindstilling. Den person, der kan svare på det, er den, der skrev politikken.