Was das lokale Netzwerk durch Ihr VPN noch sieht

Drei Beobachter fallen in eine einzige Frage zusammen, wenn jemand fragt, ob ein VPN seinen Datenverkehr verbirgt: das Netzwerk, an das er angeschlossen ist, das Gerät in seinen Händen und der Betreiber des Tunnels. Jeder erfährt etwas anderes, und der Tunnel verändert jede dieser Sichten auf andere Weise. Es hilft, in die andere Richtung zu arbeiten und bei der Behauptung zu beginnen, denn die Behauptung ist das, was einer Prüfung standhalten muss. Entscheiden Sie, welche Behauptung Sie brauchen, und vergleichen Sie dann Werkzeuge damit.

Behauptung eins: niemand kann den Verkehr lesen

Beginnen Sie mit der engsten Behauptung: die Nutzlast bleibt unlesbar. Ein passiver Beobachter auf dem Pfad kann nicht in eine TLS-Sitzung hineinsehen, also fügt der Tunnel einer Website, die bereits HTTPS nutzt, wenig hinzu und den beiden Endpunkten nichts. Die Partei, die diese Behauptung bricht, ist wer das Gerät kontrolliert, denn ein Inspektionsproxy beendet die Verbindung und signiert sie mit einer Wurzel neu, der die Maschine bereits vertraut. Deshalb erscheint das Schloss weiterhin, während die Zertifikatskette den Namen der Organisation trägt, die die Wurzel installiert hat.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

Unter macOS gibt diese Pipeline eine Subjektzeile für jedes Zertifikat im Schlüsselbund der Maschine aus, ohne ein Fenster zu öffnen, und unter Windows listet certutil -store Root denselben Speicher auf, den certlm.msc grafisch zeigt. Eine Wurzel, die einer Schule, einem Arbeitgeber oder einem Netzwerksicherheitsprodukt gehört, ist der Eintrag, nach dem Sie suchen. Eine zu finden beweist nur, dass Abfangen möglich ist, nicht dass es geschieht.

Was Sie dagegen tun dürfen, ist eine Frage der Richtlinie und nicht der Technik. Das Entfernen eines Profils oder einer Inspektionswurzel von Hardware, die Ihnen nicht gehört, verstößt normalerweise gegen die Nutzungsvereinbarung, und das Verwaltungssystem bemerkt es meist und wendet es erneut an, sodass die Anforderung, der Geräteeigentümer dürfe Ihren Verkehr nicht lesen, ein anderes Gerät erfordert statt einer anderen Einstellung.

Behauptung zwei: niemand sieht, wohin Sie gehen

Das Ziel ist die schwierigere Behauptung, denn zwei Offenlegungen geschehen, bevor eine Seite lädt. Eine Abfrage geht an den Resolver, den das System zu nutzen konfiguriert ist, und die Antwort ist für das Netz sichtbar, das sie trägt. Dann trägt der TLS-Handshake den angeforderten Servernamen im Klartext, sofern Encrypted Client Hello nicht an beiden Enden unterstützt wird. Keine der Offenlegungen beinhaltet Entschlüsselung, also hat der Tunnel auf keine von beiden Wirkung.

resolvectl status | grep -A2 "Link"
nslookup example.com

Welcher Resolver tatsächlich genutzt wird, entscheidet über die Exposition, und das lässt sich messen statt diskutieren. Unter Linux gibt resolvectl status die DNS-Server je Verbindung aus, und seine Ausgabe sagt Ihnen, ob der Resolver der Website oder der vorgegebene antwortet. Windows beantwortet dieselbe Frage mit nslookup example.com, dessen erster Ausgabeblock der DNS-Server ist, der geantwortet hat.

Wenn der Laptop den Resolver der Website abfragt, bevor der Tunnel steht, oder das Profil ohne Ersatzserver ankommt, sodass der alte in Gebrauch bleibt, sammelt der Administrator weiterhin Hostnamen, ohne etwas zu entschlüsseln. Verschlüsseltes DNS im Browser umgeht entweder den vorgegebenen Resolver oder wird ganz blockiert und schlägt geschlossen fehl. Der Ausgangsbetreiber sieht dieselben Namen von seiner Seite. Den Resolver zu wechseln verschiebt diese Offenlegung daher nicht weg vom Tunnelanbieter.

Behauptung drei: niemand weiß, dass Sie verbunden waren

Die dritte Behauptung ist die, die ein Tunnel nicht stützen kann, denn die Pakete durchqueren weiterhin das lokale Netz. Dieses Netz erfährt die Endpunktadresse, das ungefähre Volumen, den Zeitpunkt und die Existenz einer langlebigen verschlüsselten Sitzung, was genügt, um zu blockieren, zu drosseln oder einfach zu bemerken. Eine Firewall, die ein Paket nicht lesen kann, kann es dennoch ablehnen, es durchzulassen. Beobachtet zu werden ist nicht dasselbe, als werde man von niemandem beobachtet: Sie haben den Beobachter verschoben, nicht gelöscht.

Split-Tunneling und jede Anwendung, die die vorgegebene Route ignoriert, erzeugen Flüsse außerhalb des Tunnels, die genau aussehen wie zuvor. Das sind die Flüsse, die ein sorgfältiger Beobachter zuerst bemerkt, und die Routentabelle des Clients zeigt, welche Ziele ausgenommen sind.

Der Betreiber am anderen Ende hält das Spiegelbild dieser Sicht: Ausgangsadresse, Zeitpunkt, Volumen und meist die Namen der Websites. Ihr Anbieter wird die Partei mit dem Aussichtspunkt, was ein anderer Handel ist als Unsichtbarkeit. Einen Anbieter zu wählen, dem Sie vertrauen, ist eine echte Entscheidung; das Ergebnis unbeobachtet zu nennen, nicht.

Entscheiden Sie, welche Behauptung Sie brauchen

Schreiben Sie die Anforderung in einer Zeile auf, bevor Sie einen Client anfassen: den Inhalt verbergen, die Ziele verbergen oder verbergen, ob Sie überhaupt verbunden waren. Inhalte verarbeitet bereits HTTPS zusammen mit dem Tunnel, während Ziele einen Resolver und einen Pfad erfordern, die die Ausstattung der Website völlig umgehen.

Die dritte Anforderung ist die unangenehme, denn irgendwo ist weiterhin sichtbar etwas verbunden, verschlüsselt oder nicht. Keine Client-Einstellung ändert das. Wenn Anforderung und Richtlinie auseinanderlaufen, gehört diese Lücke in ein Gespräch mit dem Eigentümer der Richtlinie, nicht in eine Client-Option. Die Person, die es beantworten kann, ist die, die die Richtlinie geschrieben hat.