Τι εξακολουθεί να βλέπει το τοπικό δίκτυο μέσα από το VPN σας

Τρεις παρατηρητές συνενώνονται σε μία ερώτηση όποτε κάποιος ρωτά αν ένα VPN κρύβει την κίνησή του: το δίκτυο στο οποίο είναι συνδεδεμένος, το μηχάνημα στα χέρια του και ο διαχειριστής της σήραγγας. Καθένας μαθαίνει κάτι διαφορετικό, και η σήραγγα αλλάζει καθεμία από αυτές τις οπτικές με διαφορετικό τρόπο. Βοηθά να δουλέψει κανείς προς την αντίθετη κατεύθυνση και να ξεκινήσει από τον ισχυρισμό που διατυπώνεται, γιατί ο ισχυρισμός είναι αυτό που πρέπει να αντέξει σε έλεγχο. Αποφασίστε ποιον ισχυρισμό χρειάζεστε και μετά συγκρίνετε τα εργαλεία μαζί του.

Πρώτος ισχυρισμός: κανείς δεν μπορεί να διαβάσει την κίνηση

Ξεκινήστε με τον στενότερο ισχυρισμό: το φορτίο παραμένει μη αναγνώσιμο. Ένας παθητικός παρατηρητής στη διαδρομή δεν βλέπει μέσα σε μια συνεδρία TLS, άρα η σήραγγα προσθέτει λίγα σε έναν ιστότοπο που ήδη χρησιμοποιεί HTTPS και δεν προσθέτει τίποτα απέναντι στα δύο άκρα. Το μέρος που σπάει αυτόν τον ισχυρισμό είναι όποιος ελέγχει τη συσκευή, γιατί ένας μεσολαβητής επιθεώρησης τερματίζει τη σύνδεση και την υπογράφει ξανά με ρίζα που το μηχάνημα εμπιστεύεται ήδη. Γι' αυτό το λουκέτο εμφανίζεται ακόμη ενώ η αλυσίδα πιστοποιητικών φέρει το όνομα του οργανισμού που εγκατέστησε τη ρίζα.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

Στο macOS αυτή η σειρά εντολών εκτυπώνει μία γραμμή υποκειμένου για κάθε πιστοποιητικό στην κλειδοθήκη του μηχανήματος, χωρίς να ανοίξει παράθυρο, ενώ στα Windows το certutil -store Root απαριθμεί τον ίδιο χώρο αποθήκευσης που το certlm.msc δείχνει γραφικά. Μια ρίζα που ανήκει σε σχολείο, σε εργοδότη ή σε προϊόν ασφάλειας δικτύου είναι η εγγραφή που πρέπει να αναζητήσετε. Το να βρείτε μία αποδεικνύει μόνο ότι η υποκλοπή είναι δυνατή, όχι ότι συμβαίνει.

Το τι μπορείτε να κάνετε γι' αυτό είναι ζήτημα πολιτικής και όχι τεχνικής. Η αφαίρεση ενός προφίλ ή μιας ρίζας επιθεώρησης από υλικό που δεν σας ανήκει συνήθως παραβιάζει τη συμφωνία αποδεκτής χρήσης, και το σύστημα διαχείρισης τείνει να το αντιληφθεί και να το εφαρμόσει ξανά, άρα η απαίτηση να μην διαβάζει ο ιδιοκτήτης της συσκευής την κίνησή σας χρειάζεται άλλη συσκευή και όχι άλλη ρύθμιση.

Δεύτερος ισχυρισμός: κανείς δεν βλέπει πού πηγαίνετε

Ο προορισμός είναι ο δυσκολότερος ισχυρισμός, γιατί δύο αποκαλύψεις συμβαίνουν πριν φορτώσει μια σελίδα. Μια αναζήτηση πηγαίνει στον resolver που είναι ρυθμισμένο το σύστημα να χρησιμοποιεί, και η απάντηση είναι ορατή στο δίκτυο που τη μεταφέρει. Έπειτα η χειραψία TLS μεταφέρει το ζητούμενο όνομα διακομιστή σε καθαρό κείμενο, εκτός αν το Encrypted Client Hello υποστηρίζεται και στα δύο άκρα. Καμία από τις δύο αποκαλύψεις δεν περιλαμβάνει αποκρυπτογράφηση, άρα η σήραγγα δεν έχει καμία επίδραση σε καμία.

resolvectl status | grep -A2 "Link"
nslookup example.com

Το ποιος resolver χρησιμοποιείται πραγματικά καθορίζει την έκθεση, και αυτό μπορεί να μετρηθεί αντί να συζητηθεί. Στο Linux το resolvectl status εκτυπώνει τους διακομιστές DNS ανά σύνδεσμο, και η έξοδός του σας λέει αν απαντά ο resolver του ιστότοπου ή ο επιβεβλημένος. Τα Windows απαντούν στο ίδιο ερώτημα με το nslookup example.com, του οποίου το πρώτο τμήμα εξόδου είναι ο διακομιστής DNS που απάντησε.

Όταν ο φορητός υπολογιστής ρωτά τον resolver του ιστότοπου πριν ανέβει η σήραγγα, ή το προφίλ φτάνει χωρίς εφεδρικό διακομιστή ώστε ο παλιός να παραμένει σε χρήση, ο διαχειριστής εξακολουθεί να συλλέγει ονόματα κεντρικών υπολογιστών χωρίς να αποκρυπτογραφήσει τίποτα. Το κρυπτογραφημένο DNS στο πρόγραμμα περιήγησης είτε παρακάμπτει τον επιβεβλημένο resolver είτε μπλοκάρεται εντελώς και αποτυγχάνει κλειστά. Ο διαχειριστής εξόδου βλέπει τα ίδια ονόματα από τη δική του πλευρά. Επομένως η αλλαγή resolver δεν απομακρύνει αυτή την αποκάλυψη από τον πάροχο της σήραγγας.

Τρίτος ισχυρισμός: κανείς δεν ξέρει ότι συνδεθήκατε

Ο τρίτος ισχυρισμός είναι αυτός που μια σήραγγα δεν μπορεί να στηρίξει, γιατί τα πακέτα εξακολουθούν να διασχίζουν το τοπικό δίκτυο. Αυτό το δίκτυο μαθαίνει τη διεύθυνση του άκρου, τον κατά προσέγγιση όγκο, τον χρόνο και την ύπαρξη μίας μακρόβιας κρυπτογραφημένης συνεδρίας, που αρκεί για να μπλοκάρει, να περιορίσει ή απλώς να παρατηρήσει. Ένα τείχος προστασίας που δεν μπορεί να διαβάσει ένα πακέτο μπορεί ακόμη να αρνηθεί να το περάσει. Το να παρατηρείσαι δεν είναι το ίδιο με το να μην σε παρατηρεί κανείς: μετακινήσατε τον παρατηρητή, δεν τον διαγράψατε.

Το διαχωρισμένο tunneling και κάθε εφαρμογή που αγνοεί την επιβεβλημένη διαδρομή παράγουν ροές εκτός της σήραγγας που μοιάζουν ακριβώς όπως πριν. Αυτές είναι οι ροές που ένας προσεκτικός παρατηρητής προσέχει πρώτες, και ο πίνακας διαδρομών του πελάτη δείχνει ποιοι προορισμοί εξαιρούνται.

Ο διαχειριστής στο άλλο άκρο κρατά το κατοπτρικό είδωλο αυτής της εικόνας: διεύθυνση εξόδου, χρόνο, όγκο και συνήθως τα ονόματα των ιστότοπων. Ο πάροχός σας γίνεται το μέρος με το πλεονέκτημα θέασης, που είναι διαφορετική συμφωνία από την αορατότητα. Το να διαλέξετε πάροχο που εμπιστεύεστε είναι πραγματική απόφαση, ενώ το να χαρακτηρίσετε το αποτέλεσμα απαρατήρητο δεν είναι.

Αποφασίστε ποιον ισχυρισμό χρειάζεστε

Γράψτε την απαίτηση σε μία γραμμή πριν αγγίξετε έναν πελάτη: κρύψτε το περιεχόμενο, κρύψτε τους προορισμούς ή κρύψτε αν συνδεθήκατε καθόλου. Το περιεχόμενο το χειρίζονται ήδη το HTTPS μαζί με τη σήραγγα, ενώ οι προορισμοί απαιτούν resolver και διαδρομή που παρακάμπτουν εντελώς τον εξοπλισμό του ιστότοπου.

Η τρίτη απαίτηση είναι η άβολη, γιατί κάτι εξακολουθεί να είναι ορατά συνδεδεμένο κάπου, κρυπτογραφημένο ή όχι. Καμία ρύθμιση πελάτη δεν το αλλάζει αυτό. Αν η απαίτηση και η πολιτική απομακρυνθούν, αυτό το κενό ανήκει σε συζήτηση με όποιον κατέχει την πολιτική και όχι σε επιλογή του πελάτη. Το πρόσωπο που μπορεί να απαντήσει είναι αυτό που έγραψε την πολιτική.