VPN-Erkennung hängt davon ab, von wo aus Sie zuschauen

Zwei Detektoren können denselben Nutzer beobachten und sich widersprechen, beide zu Recht. Ein Beobachter an der Zugangsstrecke sieht die äußere Unterhaltung des VPN; die Website sieht die Anwendungsverbindung, die vom Ausgang ankommt. Das sind verschiedene Verbindungen mit verschiedenen Fingerabdrücken, und Beweise von der einen übertragen sich nicht auf die andere. Den Beobachtungspunkt zu benennen, bevor irgendein TLS- oder TCP-Test erörtert wird, macht die Behauptung erst aussagekräftig.

Ein Detektor ohne angegebenen Beobachtungspunkt beschreibt eine Meinung statt einer Messung.

Zwei Beobachtungspunkte, zwei verschiedene Verbindungen

Die äußere Unterhaltung gehört zum Tunnelprotokoll: eigene Nachrichtenformate, eigene Zustandsmaschine, eigenes Timing. Die innere Verbindung ist der Browser, der TLS zur Website aufbaut, durch den Tunnel getragen und dann vom Ausgang weitergeleitet. Beide existieren im selben Moment und sind nicht derselbe Fluss. Das eine ist, was ein Zugangsnetz sehen kann, das andere, was das Ziel sehen kann, und eine Zwischenbox, die eines von beiden beendet, verändert beide Bilder.

Dieser Unterschied erklärt den größten Teil der Verwirrung in Erkennungsdiskussionen. Ein Test, der eine Sache über einen Fluss berichtet, beantwortet oft eine Frage zu einer anderen Schicht als der, die der Betreiber im Sinn hatte.

Was der Beobachter am Zugangspfad sieht

An der Zugangsstrecke ist das sichtbare Material das Tunnelprotokoll selbst: Steuer- und Datenpakettypen für OpenVPN, die festen Handshake- und Datenmuster von WireGuard oder welche Hülle die Bereitstellung auch hinzufügt. Ob ein Klassifikator sie identifizieren kann, hängt davon ab, was sichtbar ist, welcher Transport sie trägt und ob zusätzliche Verschleierung vorhanden ist. Ein erkennbares Muster ist ein Beweis über einen Fluss und kein Beweis über die Identität oder Absicht der Person dahinter.

Port 443 ist eine Konvention, um einen Dienst zu erreichen. Er macht nicht jeden Tunneltransport zu HTTPS.

Was die Website tatsächlich sieht

Bei einem gerouteten Tunnel führt der Browser weiterhin seine eigene TLS-Sitzung mit der Website. Die Übersetzung am Ausgang macht das VPN-Gateway nicht zum TLS-Endpunkt des Browsers, daher beschreibt das ClientHello, das die Website empfängt, den Browser oder seine TLS-Bibliothek. Ein Fingerabdruck im JA3-Stil kennzeichnet daher die Anwendungsverbindung, nicht die VPN-Software, die sie trägt. Nur ein bewusst terminierender Proxy ändert diese Anordnung, und er muss gesondert identifiziert werden.

TCP-Beobachtungen erfordern dieselbe Sorgfalt. Weiterleitung, Übersetzung und ein Proxy, der eine neue Verbindung aufbaut, sind drei verschiedene Entwürfe, und nur einer davon schreibt den Transportstapel um. Ein einzelnes ungewöhnliches Merkmal impliziert nicht eindeutig einen Tunnel.

Halten Sie die Behauptung innerhalb der Beweise

Netzklassifikation, Protokollbeobachtung, Anwendungsfingerabdrücke und Kontosignale sind Eingaben für eine Risikoentscheidung, jede mit falsch positiven, falsch negativen und fehlenden Beweisen. Eine Adresse in einem Hosting-Bereich beweist nichts über ein kommerzielles VPN, und ein gewöhnlicher Browser-Fingerabdruck beweist nichts über ein direktes. Wenn Sie einen Detektor bewerten, verwenden Sie einen autorisierten Datensatz mit bekannten Pfaden und halten Sie fest, welche Beobachtung jedes Ergebnis erzeugt hat.

Halten Sie die Protokollklassifikation getrennt von einer folgenreichen Zugangsentscheidung. Eine maßgeschneiderte Antwort oder ein Trick mit fehlerhaften Paketen bestätigt nicht die Schlussfolgerung dahinter; er übt nur Druck auf eine Vermutung aus.

Ein nützlicher Bericht benennt die Beobachtung, den Beobachtungspunkt und die Zuversicht. Eine nackte Zeile «VPN erkannt» verbirgt genau den Teil, der jemandem eine Überprüfung ermöglichen würde.