Η ανίχνευση VPN εξαρτάται από το σημείο από όπου κοιτάτε

Δύο ανιχνευτές μπορούν να παρατηρούν τον ίδιο χρήστη και να διαφωνούν, και οι δύο σωστά. Ο παρατηρητής δίπλα στη ζεύξη πρόσβασης βλέπει την εξωτερική συνομιλία του VPN· ο ιστότοπος βλέπει τη σύνδεση εφαρμογής που φτάνει από την έξοδο. Πρόκειται για διαφορετικές συνδέσεις με διαφορετικά αποτυπώματα, και τα στοιχεία από τη μία δεν μεταφέρονται στην άλλη. Το να ονομάσουμε το σημείο παρατήρησης πριν συζητήσουμε οποιαδήποτε δοκιμή TLS ή TCP είναι αυτό που κάνει τον ισχυρισμό ουσιαστικό.

Ένας ανιχνευτής χωρίς δηλωμένο σημείο παρατήρησης περιγράφει γνώμη και όχι μέτρηση.

Δύο σημεία παρατήρησης, δύο διαφορετικές συνδέσεις

Η εξωτερική συνομιλία ανήκει στο πρωτόκολλο του τούνελ: δικές της μορφές μηνυμάτων, δική της μηχανή καταστάσεων, δικός της χρονισμός. Η εσωτερική σύνδεση είναι το πρόγραμμα περιήγησης που ανοίγει TLS προς τον ιστότοπο, μεταφέρεται μέσα από το τούνελ και έπειτα προωθείται από την έξοδο. Και οι δύο υπάρχουν την ίδια στιγμή και δεν είναι η ίδια ροή. Το ένα είναι αυτό που μπορεί να δει ένα δίκτυο πρόσβασης, το άλλο αυτό που μπορεί να δει ο προορισμός, και μια ενδιάμεση συσκευή που τερματίζει οποιοδήποτε από τα δύο αλλάζει και τις δύο εικόνες.

Αυτή η διαφορά εξηγεί το μεγαλύτερο μέρος της σύγχυσης στις συζητήσεις ανίχνευσης. Μια δοκιμή που αναφέρει ένα πράγμα για μια ροή συχνά απαντά σε ερώτηση για διαφορετικό επίπεδο από αυτό που είχε κατά νου ο χειριστής.

Τι βλέπει ο παρατηρητής της διαδρομής πρόσβασης

Δίπλα στη ζεύξη πρόσβασης, το ορατό υλικό είναι το ίδιο το πρωτόκολλο του τούνελ: τύποι πακέτων ελέγχου και δεδομένων για το OpenVPN, τα σταθερού μεγέθους μοτίβα χειραψίας και δεδομένων του WireGuard ή όποιο περιτύλιγμα προσθέτει η ανάπτυξη. Το αν ένας ταξινομητής μπορεί να τα αναγνωρίσει εξαρτάται από το τι είναι ορατό, ποιο μεταγωγικό μέσο τα μεταφέρει και αν υπάρχει πρόσθετη συσκότιση. Ένα αναγνωρίσιμο μοτίβο είναι στοιχείο για μια ροή, και όχι στοιχείο για την ταυτότητα ή την πρόθεση του ατόμου πίσω από αυτήν.

Η θύρα 443 είναι μια σύμβαση για την πρόσβαση σε μια υπηρεσία. Δεν κάνει κάθε μεταγωγικό μέσο τούνελ HTTPS.

Τι βλέπει πραγματικά ο ιστότοπος

Με δρομολογημένο τούνελ, το πρόγραμμα περιήγησης εξακολουθεί να εκτελεί τη δική του συνεδρία TLS με τον ιστότοπο. Η μετάφραση στην έξοδο δεν μετατρέπει την πύλη VPN σε τελικό σημείο TLS του προγράμματος περιήγησης, οπότε το ClientHello που λαμβάνει ο ιστότοπος περιγράφει το πρόγραμμα περιήγησης ή τη βιβλιοθήκη TLS του. Ένα αποτύπωμα τύπου JA3 χαρακτηρίζει επομένως τη σύνδεση εφαρμογής, όχι το λογισμικό VPN που τη μεταφέρει. Μόνο ένας μεσολαβητής που τερματίζει σκόπιμα αλλάζει αυτή τη διάταξη, και πρέπει να αναγνωριστεί χωριστά.

Οι παρατηρήσεις TCP χρειάζονται την ίδια φροντίδα. Η προώθηση, η μετάφραση και ένας μεσολαβητής που ξεκινά νέα σύνδεση είναι τρία διαφορετικά σχέδια, και μόνο ένα από αυτά ξαναγράφει τη στοίβα μεταγωγής. Ένα μόνο ασυνήθιστο χαρακτηριστικό δεν υποδηλώνει μοναδικά τούνελ.

Κρατήστε τον ισχυρισμό μέσα στα στοιχεία

Η ταξινόμηση δικτύου, η παρατήρηση πρωτοκόλλων, τα αποτυπώματα εφαρμογών και τα σήματα λογαριασμού είναι είσοδοι για μια απόφαση κινδύνου, καθένα με ψευδώς θετικά, ψευδώς αρνητικά και ελλιπή στοιχεία. Μια διεύθυνση σε εύρος φιλοξενίας δεν αποδεικνύει τίποτα για εμπορικό VPN, και ένα κοινό αποτύπωμα περιήγησης δεν αποδεικνύει τίποτα για άμεσο. Όταν αξιολογείτε έναν ανιχνευτή, χρησιμοποιήστε ένα εξουσιοδοτημένο σύνολο δεδομένων με γνωστές διαδρομές και καταγράψτε ποια παρατήρηση παρήγαγε κάθε αποτέλεσμα.

Κρατήστε την ταξινόμηση πρωτοκόλλου χωριστά από μια απόφαση πρόσβασης με συνέπειες. Μια προσαρμοσμένη απόκριση ή ένα τέχνασμα με παραμορφωμένο πακέτο δεν επικυρώνει το συμπέρασμα πίσω από αυτό· απλώς ασκεί πίεση σε μια εικασία.

Μια χρήσιμη αναφορά ονομάζει την παρατήρηση, το σημείο παρατήρησης και την πεποίθηση. Μια γυμνή γραμμή «εντοπίστηκε VPN» κρύβει ακριβώς το μέρος που θα επέτρεπε σε κάποιον να το ελέγξει.