Μπορεί ένα δίκτυο να μπλοκάρει το VPN σας χωρίς να σπάσει την κρυπτογράφηση;

Κανένας πάροχος δεν χρειάζεται κλειδί συνεδρίας για να σταματήσει μια σήραγγα: απορρίψτε τα πακέτα στη διαδρομή και αποτυγχάνει, ενώ η κρυπτογραφία παραμένει ακριβώς τόσο ισχυρή όσο υποσχόταν ο σχεδιασμός της. Η κρυπτογράφηση προστατεύει ό,τι μεταφέρει μια συνομιλία, όχι την προθυμία οποιουδήποτε δικτύου να τη μεταφέρει. Ο διαχωρισμός αυτών των δύο ιδιοτήτων μετατρέπει μια διαμάχη για το αν είναι δυνατόν να μπλοκαριστεί σε ερώτημα για το ποια πολιτική ισχύει και πόσο μακριά φτάνει. Η σύγκριση παρακάτω κρατά διαθεσιμότητα και εμπιστευτικότητα χωριστά, επειδή οι περισσότεροι σίγουροι ισχυρισμοί για τον αποκλεισμό VPN τις συγχωνεύουν σιωπηρά.

Η προσβασιμότητα είναι απόφαση της διαδρομής

Κάθε μεταφορά εξαρτάται από μια διαδρομή που προωθεί πακέτα, και κάθε ερώτημα πολιτικής εδώ ανάγεται σε αυτή την απόφαση προώθησης. Ένας κανόνας που απορρίπτει πακέτα αλλάζει τη διαθεσιμότητα χωρίς να αγγίζει την εμπιστευτικότητα, και έτσι μια σήραγγα μπορεί να είναι άψογα κρυπτογραφημένη και εντελώς άχρηστη την ίδια στιγμή. Τίποτε σε αυτό το αποτέλεσμα δεν απαιτεί το σπάσιμο ενός κρυπταλγορίθμου ή την ανάκτηση κλειδιού. Απαιτεί μόνο έλεγχο της διαδρομής.

Η σύγχυση συνήθως ξεκινά όταν δύο ιδιότητες μοιράζονται μία λέξη. Η ισχυρή κρυπτογραφία απαντά ποιος μπορεί να διαβάσει μια ροή· δεν λέει τίποτε για το αν μια ενδιάμεση συσκευή θα την περάσει. Ο ισχυρισμός ότι ένα VPN δεν μπορεί να μπλοκαριστεί χρειάζεται επομένως έναν δεύτερο ισχυρισμό από κάτω, δηλαδή ότι κανείς στη διαδρομή δεν είναι πρόθυμος να απορρίψει τα πακέτα.

Στυλ επιβολής και το κόστος του καθενός

Τρία στυλ καλύπτουν τις περισσότερες πραγματικές πολιτικές, και διαφέρουν σε ό,τι πρέπει να γνωρίζουν, στο κόστος λειτουργίας τους και στο ποιος άλλος υποφέρει. Κάθε ένα μπορεί να αρνηθεί μια σήραγγα χωρίς να αποκρυπτογραφήσει τίποτε. Οι διαφορές μετράνε επειδή η ίδια λέξη, αποκλεισμός, χρησιμοποιείται και για τα τρία.

Αυτός ο πίνακας είναι χάρτης κόστους και όχι κατάταξη. Μια λίστα αποκλεισμού είναι φθηνή στην αρχή και ακριβή στη διατήρηση της ακρίβειάς της· μια λίστα επιτρεπόμενων ανταλλάσσει την ανακάλυψη με τη συντήρηση του επιτρεπόμενου συνόλου, και μια διακοπή δεν χρειάζεται καθόλου ταξινόμηση. Αυτό που τις χωρίζει δεν είναι τεχνική εκλέπτυνση αλλά το πού τοποθετεί η καθεμία τη συνεχή προσπάθεια. Μια πολιτική που φαίνεται απλή στο χαρτί έχει συνήθως μια κρυφή γραμμή συντήρησης κάπου αλλού.

Μια λίστα αποκλεισμού περιορίζεται από το πόσο καλά μια διεύθυνση ονομάζει μια υπηρεσία

Μια λίστα αποκλεισμού αρνείται προορισμούς που έχουν ήδη ταυτοποιηθεί και αφήνει τους υπόλοιπους γενικά διαθέσιμους. Η επιβολή της χρειάζεται διευθύνσεις και θύρες, όχι απλό κείμενο, και αυτό την κάνει φθηνή στη λειτουργία της αρχικά. Το κόστος έρχεται αργότερα, γιατί ένα εύρος που κάποτε ταυτοποιούσε έναν πάροχο μπορεί τελικά να φιλοξενεί δώδεκα άσχετους ενοικιαστές. Κάθε αλλαγή διεύθυνσης επιβάλλει επεξεργασία της λίστας, και κάθε παρωχημένη εγγραφή παίρνει μαζί της αθώα κίνηση.

Η ακρίβεια σε αυτό το μοντέλο περιορίζεται από το πόσο καλά ένας προορισμός ταυτοποιεί μια υπηρεσία, και ένα πολυσύχναστο κοινόχρηστο τελικό σημείο είναι κακό αναγνωριστικό. Αυτό είναι δομικό όριο και όχι κατασκευαστικό ελάττωμα, επομένως καλύτερα εργαλεία δεν το αφαιρούν. Εξηγεί επίσης γιατί οι λίστες αποκλεισμού τείνουν να μεγαλώνουν: κάθε νέο τελικό σημείο μοιάζει με μικρή προσθήκη, και η παράπλευρη ζημιά μεγαλώνει μαζί με τη λίστα.

Μια λίστα επιτρεπόμενων μετατοπίζει το βάρος συντήρησης

Μια λίστα επιτρεπόμενων αντιστρέφει την προεπιλογή ώστε να περνούν μόνο οι προεπιλεγμένοι προορισμοί ή τύποι κίνησης. Δεν χρειάζεται να απαριθμήσει κάθε απαγορευμένο τελικό σημείο, κάτι που βοηθά όταν το απαγορευμένο σύνολο είναι μεγάλο ή αλλάζει γρήγορα. Αυτό που χρειάζεται αντ’ αυτού είναι ένας συντηρούμενος ορισμός του επιτρεπόμενου, μαζί με επιβολή που αντιστοιχεί σε αυτόν τον ορισμό.

Οι αριθμοί θυρών είναι το συνηθισμένο αδύναμο σημείο σε έναν τέτοιο ορισμό. Το να επιτρέψεις μια θύρα δεν είναι το ίδιο με το να ταυτοποιήσεις κάθε εφαρμογή που μπορεί να τη χρησιμοποιήσει, οπότε μια λίστα επιτρεπόμενων βασισμένη σε θύρες συχνά δέχεται περισσότερα από όσα είχε σκοπό ο συντάκτης της. Τα αποτυπώματα πρωτοκόλλων έχουν το ίδιο πρόβλημα από άλλη οπτική, γιατί ταυτοποιούν ένα σχήμα κίνησης και όχι μια πρόθεση. Επομένως μια λίστα επιτρεπόμενων δεν είναι αυτόματα ακριβέστερη από μια λίστα αποκλεισμού· είναι ακριβής ως προς κάτι άλλο.

Τι μπορεί να στηρίξει μία παρατήρηση και τι όχι

Κάθε ισχυρισμός για αποκλεισμό πρέπει να διαβάζεται με τέσσερα ερωτήματα στο χέρι: ποια δίκτυα πρόσβασης, ποιοι προορισμοί, ποια πρωτόκολλα και ποια περίοδος παρατήρησης. Μια αποτυχία που βλέπετε σήμερα σε ένα κινητό δίκτυο δεν λέει τίποτε για το ίδιο τελικό σημείο αύριο από άλλο δίκτυο. Ούτε μια σήραγγα που λειτούργησε μία φορά λέει κάτι για διαρκή διαθεσιμότητα.

Το σχήμα μιας αποτυχίας μπορεί να παρατηρηθεί πριν θεωρητικολογήσετε για την αιτία της. Ένα σιωπηλό κόλλημα, μια άμεση άρνηση και ένα reset μετά τη σύνδεση δείχνουν διαφορετικά στυλ επιβολής, και δύο εντολές τα ξεχωρίζουν:

curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.com

Ένα κόλλημα που καταλήγει σε λήξη χρόνου υποδηλώνει σιωπηλή απόρριψη, μια γρήγορη άρνηση υποδηλώνει μια συσκευή που απορρίπτει στη διαδρομή, και ένα reset μετά τη σύνδεση υποδηλώνει παρεμβολή με κατάσταση και όχι μια διαδρομή που λείπει. Η επισκόπηση του RFC 9505 για τις τεχνικές λογοκρισίας περιγράφει τα σημεία ελέγχου και τα μοτίβα παρεμβολής πίσω από αυτά τα σχήματα. Κανένα από αυτά όμως δεν λέει πόσο ευρέως εφαρμόζεται η πολιτική. Η μονιμότητα είναι ισχυρότερος ισχυρισμός από την προσβασιμότητα: τελικά σημεία, λογισμικό, πολιτικές και επιτρεπόμενες υπηρεσίες αλλάζουν όλα, οπότε η αόριστη αποτελεσματικότητα χρειάζεται υποθέσεις για συνεχή επιβολή και όχι έναν κατάλογο διευθύνσεων που είδαμε σε μια στιγμή.