VPN-i tuvastamine sõltub sellest, kust te vaatate

Kaks tuvastajat võivad jälgida sama kasutajat ja olla eriarvamusel, mõlemad õigesti. Juurdepääsulüliga kõrvuti olev vaatleja näeb VPN-i välist vestlust; veebisait näeb rakenduse ühendust, mis saabub väljundist. Need on erinevad ühendused erinevate sõrmejälgedega ja tõendid ühest ei kandu teise üle. Vaatluspunkti nimetamine enne mis tahes TLS- või TCP-testi arutamist on see, mis annab väitele tähenduse.

Tuvastaja, kes ei nimeta vaatluspunkti, kirjeldab arvamust, mitte mõõtmist.

Kaks vaatluspunkti, kaks erinevat ühendust

Väline vestlus kuulub tunneli protokollile: oma sõnumivormingud, oma olekumasin, oma ajastus. Sisemine ühendus on brauser, mis avab TLS-i veebisaidiga, kantakse läbi tunneli ja seejärel edastatakse väljundist. Mõlemad eksisteerivad samal hetkel ja need ei ole sama voog. Üks on see, mida juurdepääsuvõrk näeb, teine see, mida sihtkoht näeb, ja vahepealne seade, mis ühe neist lõpetab, muudab mõlemat pilti.

See erinevus selgitab suuremat osa segadusest tuvastamise aruteludes. Test, mis teatab üht voolu kohta, vastab sageli hoopis teise kihi küsimusele, kui operaatoril mõttes oli.

Mida vaatleja juurdepääsuteel näeb

Juurdepääsulüli kõrval on nähtav materjal tunneli protokoll ise: juht- ja andmepaketi tüübid OpenVPN jaoks, WireGuardi fikseeritud suurusega kätlus- ja andmemustrid või mis tahes ümbris, mille juurutamine lisab. Kas klassifitseerija suudab neid tuvastada, sõltub sellest, mis on nähtav, milline transport neid kannab ja kas lisavarjutus on olemas. Äratuntav muster on tõend voolu kohta, mitte tõend selle taga oleva inimese identiteedi või kavatsuse kohta.

Port 443 on konventsioon teenusele jõudmiseks. See ei muuda iga tunnelitransporti HTTPS-iks.

Mida veebisait tegelikult näeb

Marsruuditud tunneli puhul peab brauser endiselt oma TLS-seanssi saidiga. Väljundis tehtav tõlge ei muuda VPN-i lüüsi brauseri TLS-i lõpp-punktiks, seega saidi saadud ClientHello kirjeldab brauserit või selle TLS-teeki. JA3-stiilis sõrmejälg iseloomustab seega rakenduse ühendust, mitte seda kandvat VPN-tarkvara. Ainult teadlikult lõpetav puhverserver muudab seda korraldust ja see tuleb eraldi tuvastada.

TCP-vaatlused nõuavad sama hoolt. Edastamine, tõlkimine ja uut ühendust loov puhverserver on kolm erinevat lahendust ja ainult üks neist kirjutab transpordikihi üle. Üks ebatavaline omadus ei viita üheselt tunnelile.

Hoia väide tõendite piires

Võrgu klassifitseerimine, protokolli vaatlemine, rakenduste sõrmejäljed ja konto signaalid on riskiotsuse sisendid, igaühel valepositiivsed, valenegatiivsed ja puuduvad tõendid. Hostingu vahemikus olev aadress ei tõenda midagi kommertsliku VPN-i kohta ja tavaline brauseri sõrmejälg ei tõenda midagi otsese kohta. Tuvastaja hindamisel kasuta volitatud andmestikku teadaolevate teedega ja registreeri, milline vaatlus andis iga tulemuse.

Hoia protokolli klassifitseerimine lahus tagajärgedega juurdepääsuotsusest. Kohandatud vastus või rikutud paketi trikk ei kinnita selle taga olevat järeldust; see avaldab lihtsalt oletusele survet.

Kasulik aruanne nimetab vaatluse, vaatluspunkti ja kindluse. Paljas rida «VPN tuvastatud» varjab täpselt selle osa, mis laseks kellelgi seda kontrollida.