Mida kohalik võrk teie VPN-i kaudu veel näeb

Kolm vaatlejat sulanduvad üheks küsimuseks alati, kui keegi küsib, kas VPN varjab tema liiklust: võrk, millega ta on ühendatud, seade tema kätes ja tunneli operaator. Igaüks õpib midagi erinevat ja tunnel muudab kõiki neid vaateid erineval viisil. Tasub töötada vastassuunas ja alustada väitest, sest väide on see, mis peab vastu pidama kontrollile. Otsustage, millist väidet vajate, ja võrrelge seejärel tööriistu sellega.

Esimene väide: keegi ei saa liiklust lugeda

Alustage kõige kitsamast väitest: kasulik koormus jääb loetamatuks. Teel olev passiivne vaatleja ei näe TLS-i sessiooni sisse, nii et tunnel lisab vähe saidile, mis juba kasutab HTTPS-i, ja ei lisa midagi kahe lõpp-punkti vastu. Seda väidet murrab see, kes seadet kontrollib, sest kontrollimise puhverserver lõpetab ühenduse ja allkirjastab selle uuesti juurega, mida masin juba usaldab. Seetõttu ilmub lukk endiselt, samal ajal kui sertifikaadiahel kannab selle organisatsiooni nime, kes juure installis.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

macOS-is trükib see toru ühe subjekti rea iga masina võtmehoidlas oleva sertifikaadi kohta, ilma akent avamata, ja Windowsis loetleb certutil -store Root sama hoidlat, mida certlm.msc näitab graafiliselt. Koolile, tööandjale või võrgu turvatootele kuuluv juur on kirje, mida otsida. Ühe leidmine tõestab ainult, et vaheltlõikamine on võimalik, mitte et see toimub.

Mida te sellega teha võite, on poliitika, mitte tehnika küsimus. Profiili või kontrollimisjuure eemaldamine riistvaralt, mis ei kuulu teile, rikub tavaliselt vastuvõetava kasutuse lepingut ja haldussüsteem kipub seda märkama ning uuesti rakendama, nii et nõue, et seadme omanik ei tohi teie liiklust lugeda, vajab teist seadet, mitte teist sätet.

Teine väide: keegi ei näe, kuhu te lähete

Sihtkoht on raskem väide, sest enne lehe laadimist toimub kaks paljastust. Päring läheb sellele resolverile, mille kasutamiseks süsteem on seadistatud, ja vastus on nähtav võrgule, mis seda kannab. Seejärel kannab TLS-i kätlus taotletud serverinime avatult, kui Encrypted Client Hello'i ei toetata mõlemas otsas. Kumbki paljastus ei hõlma dekrüpteerimist, nii et tunnelil ei ole kummalelegi mõju.

resolvectl status | grep -A2 "Link"
nslookup example.com

See, millist resolverit tegelikult kasutatakse, määrab kokkupuute, ja seda saab mõõta, mitte vaielda. Linuxis trükib resolvectl status DNS-serverid lingi kohta ja selle väljund ütleb, kas vastab saidi resolver või pealesurutud oma. Windows vastab samale küsimusele käsuga nslookup example.com, mille väljundi esimene plokk on DNS-server, mis vastas.

Kui sülearvuti küsib saidi resolverit enne, kui tunnel püsti tõuseb, või profiil saabub ilma asendusserverita, nii et vana jääb kasutusele, kogub administraator endiselt hostinimesid ilma midagi dekrüpteerimata. Brauseri krüpteeritud DNS möödub kas pealesurutud resolverist või blokeeritakse täielikult ja ebaõnnestub suletult. Väljundi operaator näeb samu nimesid omalt poolt. Resolveri vahetamine ei liiguta seda paljastust tunneliteenusepakkuja juurest eemale.

Kolmas väide: keegi ei tea, et te ühendusite

Kolmas väide on see, mida tunnel toetada ei saa, sest paketid ületavad endiselt kohalikku võrku. See võrk saab teada lõpp-punkti aadressi, ligikaudse mahu, ajastuse ja ühe pikaajalise krüpteeritud sessiooni olemasolu, millest piisab blokeerimiseks, piiramiseks või lihtsalt märkamiseks. Tulemüür, mis ei suuda paketti lugeda, võib ikkagi keelduda seda läbi laskmast. Jälgitud olemine ei ole sama, mis mitte kellegi poolt jälgitud olemine: te liigutasite vaatlejat, te ei kustutanud seda.

Jagatud tunnelimine ja iga rakendus, mis eirab pealesurutud marsruuti, tekitavad vooge väljaspool tunnelit, mis näevad välja täpselt nagu enne. Just neid vooge märkab hoolikas vaatleja esimesena, ja kliendi marsruuditabel näitab, millised sihtkohad on välistatud.

Teises otsas olev operaator hoiab selle vaate peegelpilti: väljundaadress, ajastus, maht ja tavaliselt saitide nimed. Teie teenusepakkuja muutub vaatepunkti omavaks osapooleks, mis on teistsugune tehing kui nähtamatus. Usaldusväärse teenusepakkuja valimine on tõeline otsus; tulemuse nimetamine jälgimata olevaks ei ole.

Otsustage, millist väidet vajate

Kirjutage nõue ühele reale enne kliendi puudutamist: varjake sisu, varjake sihtkohad või varjake, kas te üldse ühendusite. Sisu käsitlevad juba HTTPS ja tunnel, samas kui sihtkohad nõuavad resolverit ja teed, mis lähevad saidi seadmetest täiesti mööda.

Kolmas nõue on see tülikas, sest midagi on ikka veel nähtavalt kuskil ühendatud, krüpteeritud või mitte. Ükski kliendi säte ei muuda seda. Kui nõue ja poliitika lähevad lahku, kuulub see lünk vestlusesse sellega, kes poliitikat omab, mitte kliendi valikusse. Inimene, kes sellele vastata saab, on see, kes poliitika kirjutas.