Εγκαταστήσατε VPN; Το τοπικό δίκτυο βλέπει ακόμη τη συσκευή

Το ανέβασμα μιας σήραγγας δεν κάνει το τοπικό δίκτυο να ξεχάσει το μηχάνημα, αν και αυτή είναι η συνήθης υπόθεση. Οι πίνακες γειτόνων, οι μισθώσεις και οι τοπικές εγγραφές ονομάτων λένε κάτι άλλο. Η σήραγγα αλλάζει από πού βγαίνουν τα πακέτα σας· δεν αλλάζει τι μπορούν να δουν οι γείτονες σας.

Δύο οπτικές πρέπει να ελεγχθούν. Καμία από τις δύο δεν είναι το τεστ «κρυφό ή όχι» που κάνουν πρώτα οι περισσότεροι.

Οι γείτονες σας γνωρίζουν ακόμη το μηχάνημα

Μια τοπική διεύθυνση, μια διεύθυνση υλικού και, στα περισσότερα δίκτυα, ένα μισθωμένο όνομα κεντρικού υπολογιστή παραμένουν συνδεδεμένα με το μηχάνημα όσο αυτό είναι συνδεδεμένο. Ένας δρομολογητής τα απαριθμεί, και σε ένα επίπεδο τμήμα άλλοι υπολογιστές μπορούν επίσης να τα μάθουν. Η ανακάλυψη γειτόνων, η εκχώρηση διευθύνσεων και η τοπική επίλυση ονομάτων γίνονται στο τμήμα και όχι μέσα στη σήραγγα, γι’ αυτό ένα VPN δεν τα καταστέλλει. Τα πλαίσια που μεταφέρουν την κίνηση σας είναι κρυπτογραφημένα από άκρο σε άκρο, ενώ η μίσθωση και η καταχώριση γείτονα δεν ήταν ποτέ μέρος αυτής της συνομιλίας.

Αυτό που κρύβει η σήραγγα είναι η λίστα προορισμών. Ο δρομολογητής σας βλέπει μία κρυπτογραφημένη ροή προς ένα τελικό σημείο αντί για μια σειρά ιστοτόπων, αν και ο όγκος, ο χρόνος και η φήμη του τελικού σημείου περιγράφουν ακόμη αρκετά.

Η διεύθυνση εξόδου είναι μόνο μία ταυτότητα

Ο ισχυρισμός ότι ένα VPN κρύβει μια συσκευή σε τοπικό δίκτυο είναι αληθής με μία στενή έννοια: ένας απομακρυσμένος παρατηρητής δεν μαθαίνει πλέον τη δημόσια διεύθυνση σας. Αυτό δεν λέει τίποτα για το σημείο πρόσβασης στο οποίο είστε συνδεδεμένοι, το οποίο γνωρίζει ακόμη τη διεύθυνση υλικού με την οποία μιλάει. Το να αντιμετωπίζετε τις δύο παρατηρήσεις ως ένα ερώτημα είναι ο τρόπος με τον οποίο οι άνθρωποι καταλήγουν ότι μια σήραγγα απέτυχε, ενώ έκανε ακριβώς αυτό που κάνει μια σήραγγα. Χωρίστε τις και κάθε αποτέλεσμα γίνεται ερμηνεύσιμο από μόνο του.

Η τοποθεσία έχει ένα δεύτερο κανάλι που δεν αγγίζει ποτέ διεύθυνση. Η γεωτοποθεσία του προγράμματος περιήγησης μπορεί να απαντηθεί από μια σάρωση κοντινών σημείων πρόσβασης αντί για διεύθυνση, επειδή το λειτουργικό σύστημα παραδίδει τα αναγνωριστικά τους σε μια υπηρεσία αναζήτησης που τα αντιστοιχίζει ήδη σε τοποθεσίες. Η αποσύνδεση του ραδιοφώνου αφαιρεί αυτή την είσοδο· μια διαφορετική χώρα εξόδου όχι.

Αν νοικιάσετε τον διακομιστή, ο πάροχος βλέπει το μοτίβο

Το να τρέχετε τη σήραγγα σε μια νοικιασμένη περίπτωση μετακινεί την παρατήρηση αντί να την αφαιρεί. Ο πάροχος φιλοξενίας βλέπει την πηγή και τον προορισμό της εξωτερικής ροής επειδή πρέπει να τη δρομολογήσει, και η διεύθυνση του τελικού σημείου αναγνωρίζει την υπηρεσία. Το φορτίο παραμένει μη αναγνώσιμο, αλλά ένας υπολογιστής που μιλάει με έναν μόνο ομότιμο και με τίποτα άλλο δεν είναι δύσκολο να ταξινομηθεί. Τίποτα σε αυτή την περιγραφή δεν απαιτεί σπάσιμο ενός κρυπτογράφου.

Ένα μοτίβο δεν είναι περιεχόμενο. Αν η ανησυχία είναι τα αρχεία του παρόχου, η απάντηση είναι ένας πάροχος με δηλωμένη πολιτική και δικαιοδοσία που αποδέχεστε, όχι ένας διαφορετικός κρυπτογράφος. Ένας ισχυρότερος κρυπτογράφος δεν αλλάζει τίποτα στο πώς φαίνεται η ροή από έξω.

Η διαιρεμένη σήραγγα αποφασίζει ποιος βλέπει τα ερωτήματα σας

Με μια σήραγγα εργασίας, αυτό που μπορεί να παρατηρήσει ο διαχειριστής εξαρτάται από τις διαδρομές που εγκαθιστά ο πελάτης. Αν στη σήραγγα υπάρχουν μόνο τα εταιρικά προθέματα, η πύλη καταγράφει ακριβώς εκείνο το τμήμα της κίνησης σας και τίποτα άλλο. Χωρίς διαιρεμένη σήραγγα κάθε πακέτο περνά από τον εργοδότη, μαζί με τις αναζητήσεις τομέων όταν ο μεταφραστής τους ωθείται στον πελάτη. Αυτή η διαφορά αποφασίζει ποιες από τις συνήθειες σας μπορεί να παρατηρήσει ο εργοδότης.

Ελέγξτε τον πίνακα δρομολόγησης αντί να υποθέτετε, και σημειώστε ποιος απαντά σε μια αναζήτηση δημόσιου ονόματος. Μόλις ο μεταφραστής τους απαντήσει στις αναζητήσεις σας, κρατούν το ερώτημα ακόμη και όταν η σελίδα λαμβάνεται αλλού.

Ελέγξτε και τις δύο οπτικές πριν πιστέψετε οποιαδήποτε

Ζητήστε από μια δεύτερη συσκευή στο ίδιο τμήμα να επιλύσει το όνομα κεντρικού υπολογιστή σας και να εκτυπώσει τον πίνακα γειτόνων της, και μετά παρατηρήστε από έξω ποια διεύθυνση αναφέρει μια υπηρεσία. Αυτές οι δύο απαντήσεις περιγράφουν διαφορετικά επίπεδα, και κανένα μοναδικό τεστ «κρυφό ή όχι» δεν καλύπτει και τα δύο.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Αλλάξτε ένα επίπεδο τη φορά όταν δοκιμάζετε. Κλείστε το πρωτόκολλο ανακάλυψης και το τμήμα χάνει αυτή την οπτική ενώ η σήραγγα μένει ανέπαφη· αλλάξτε χώρα εξόδου και η εγγραφή ενός ιστοτόπου αλλάζει ενώ το τμήμα όχι.