Kion la loka reto ankoraŭ vidas tra via VPN

Tri observantoj kunfandiĝas en unu demandon, kiam iu demandas, ĉu VPN kaŝas lian trafikon: la reto, al kiu li estas ligita, la maŝino en liaj manoj, kaj la funkciiganto de la tunelo. Ĉiu lernas ion malsaman, kaj la tunelo ŝanĝas ĉiun el tiuj vidpunktoj laŭ malsama maniero. Helpas labori en la mala direkto kaj komenci de la aserto, ĉar la aserto estas tio, kio devas elteni ekzamenon. Decidu, kiun aserton vi bezonas, poste komparu ilojn kun ĝi.

Unua aserto: neniu povas legi la trafikon

Komencu per la plej mallarĝa aserto: la ŝarĝo restas nelegebla. Pasiva observanto sur la vojo ne povas vidi ene de TLS-sesio, do la tunelo aldonas malmulte al retejo, kiu jam uzas HTTPS, kaj aldonas nenion kontraŭ la du finpunktoj. La partio, kiu rompas ĉi tiun aserton, estas tiu, kiu regas la aparaton, ĉar inspekta prokuro finas la konekton kaj re-subskribas ĝin per radiko, kiun la maŝino jam fidas. Tial la pendaĵo ankoraŭ aperas, dum la atestila ĉeno portas la nomon de la organizo, kiu instalis la radikon.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

En macOS tiu tubaro presas unu subjektan linion por ĉiu atestilo en la ŝlosilaro de la maŝino, sen malfermi fenestron, kaj en Windows certutil -store Root listigas la saman konservejon, kiun certlm.msc montras grafike. Radiko apartenanta al lernejo, al dunganto aŭ al produkto pri reta sekureco estas la rikordo, kiun vi serĉu. Trovi unu pruvas nur, ke interkaptado eblas, ne ke ĝi okazas.

Kion vi povas fari pri tio, estas demando pri politiko, ne pri tekniko. Forigi profilon aŭ inspektan radikon de aparataro, kiun vi ne posedas, kutime malobservas la interkonsenton pri akceptebla uzo, kaj la administra sistemo emas rimarki tion kaj reapliki ĝin, do postulo, ke la posedanto de la aparato ne legu vian trafikon, bezonas alian aparaton anstataŭ alian agordon.

Dua aserto: neniu povas vidi, kien vi iras

La celloko estas la pli malfacila aserto, ĉar du malkaŝoj okazas antaŭ ol paĝo ŝarĝiĝas. Serĉo iras al tiu solvilo, kiun la sistemo estas agordita uzi, kaj la respondo estas videbla al la reto, kiu portas ĝin. Poste la TLS-manpremo portas la petatan servilan nomon malkaŝe, krom se Encrypted Client Hello estas subtenata ĉe ambaŭ finoj. Neniu el la malkaŝoj implicas malĉifradon, do la tunelo havas neniun efikon al ili.

resolvectl status | grep -A2 "Link"
nslookup example.com

Kiun solvilon oni efektive uzas, tio decidas la elmontriĝon, kaj ĝi estas mezurebla anstataŭ diskutebla. En Linux resolvectl status presas la DNS-servilojn po ligilo, kaj ĝia eligo diras al vi, ĉu la solvilo de la retejo aŭ la trudita respondas. Windows respondas la saman demandon per nslookup example.com, kies unua eliga bloko estas la DNS-servilo, kiu respondis.

Kiam la tekkomputilo demandas la solvilon de la retejo antaŭ ol la tunelo leviĝas, aŭ la profilo alvenas sen anstataŭa servilo, do la malnova restas uzata, la administranto ankoraŭ kolektas hostnomojn sen malĉifri ion ajn. Ĉifrita DNS en la retumilo aŭ preterpasas la truditan solvilon aŭ estas tute blokata kaj malsukcesas fermite. La elira funkciiganto vidas la samajn nomojn de sia flanko. Ŝanĝi la solvilon do ne forigas tiun malkaŝon de la tunela provizanto.

Tria aserto: neniu scias, ke vi konektiĝis

La tria aserto estas tiu, kiun tunelo ne povas subteni, ĉar la pakoj ankoraŭ trapasas la lokan reton. Tiu reto ekscias la finan adreson, la proksimuman volumon, la tempon kaj la ekziston de unu longdaŭra ĉifrita sesio, kio sufiĉas por bloki, limigi aŭ simple rimarki. Fajroŝirmilo, kiu ne povas legi pakon, tamen povas rifuzi pasigi ĝin. Esti observata ne samas kiel esti observata de neniu: vi movis la observanton, vi ne forviŝis ĝin.

Dividita tunelado, kaj iu ajn aplikaĵo, kiu ignoras la truditan vojon, produktas fluojn ekster la tunelo, kiuj aspektas ĝuste kiel antaŭe. Tiuj estas la fluoj, kiujn singarda observanto rimarkas unue, kaj la vojiga tabelo de la kliento montras, kiuj celoj estas ekskluditaj.

La funkciiganto ĉe la alia fino tenas la spegulan bildon de tiu vido: elira adreso, tempo, volumo kaj kutime la retejaj nomoj. Via provizanto fariĝas la partio kun la vidpunkto, kio estas malsama interkonsento ol nevidebleco. Elekti provizanton, kiun vi fidas, estas vera decido; nomi la rezulton neobservita ne estas.

Decidu, kiun aserton vi bezonas

Skribu la postulon en unu linio antaŭ ol tuŝi klienton: kaŝu la enhavon, kaŝu la celojn, aŭ kaŝu, ĉu vi entute konektiĝis. Enhavon jam traktas HTTPS kune kun la tunelo, dum celoj postulas solvilon kaj vojon, kiuj tute preterpasas la ekipaĵon de la retejo.

La tria postulo estas la malkomforta, ĉar io ankoraŭ videble konektiĝis ie, ĉifrita aŭ ne. Neniu klienta agordo ŝanĝas tion. Se la postulo kaj la politiko disiĝas, tiu breĉo apartenas al interparolo kun tiu, kiu posedas la politikon, ne al klienta opcio. La persono, kiu povas respondi, estas tiu, kiu skribis la politikon.