Tokiko sareak zure VPN bidez oraindik ikusten duena

Hiru behatzaile galdera bakarrean biltzen dira norbaitek VPN batek bere trafikoa ezkutatzen duen galdetzen duen bakoitzean: konektatuta dagoen sarea, eskuetan duen makina eta tunelaren operadorea. Bakoitzak zerbait desberdina ikasten du, eta tunelak ikuspegi horietako bakoitza modu desberdinean aldatzen du. Lagungarria da kontrako noranzkoan lan egitea eta egiten den baieztapenetik abiatzea, baieztapena baita azterketari eutsi behar diona. Erabaki zein baieztapen behar duzun, eta gero alderatu tresnak harekin.

Lehen baieztapena: inork ezin du trafikoa irakurri

Hasi baieztapen estuenean: karga erabilgarria irakurgaitz jarraitzen du. Bideko behatzaile pasibo batek ezin du TLS saio baten barrura begiratu, beraz tunelak gutxi gehitzen dio jada HTTPS erabiltzen duen gune bati, eta ezer ez die bi muturrei. Baieztapen hau hausten duen aldea gailua kontrolatzen duena da, ikuskapen proxy batek konexioa amaitzen baitu eta makina jada fidatzen den erro batekin berriz sinatzen du. Horregatik giltzarrapoak agertzen jarraitzen du ziurtagiri-kateak erroa instalatu zuen erakundearen izena daraman bitartean.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

macOS-en hodi horrek subjektu-lerro bat inprimatzen du makinaren giltzatako ziurtagiri bakoitzeko, leiho bat ireki gabe, eta Windows-en certutil -store Root certlm.msc-k grafikoki erakusten duen biltegi bera zerrendatzen du. Eskola, enplegatzaile edo sare-segurtasun produktu bati dagokion erroa da bilatu beharreko sarrera. Bat aurkitzeak agerian uzten du soilik atzematea posible dela, ez gertatzen ari denik.

Horren inguruan zer egin dezakezun politika-kontua da, ez teknika-kontua. Jabetzakoa ez den hardwaretik profila edo ikuskapen-erroa kentzeak onargarritasun-erabileraren akordioa urratzen du normalean, eta kudeaketa-sistemak ohartu eta berriz aplikatzeko joera du, beraz gailuaren jabeak zure trafikoa irakurri ez dezan baldintzak beste gailu bat behar du, ez beste ezarpen bat.

Bigarren baieztapena: inork ez du ikusten nora zoazen

Helmuga da baieztapen zailena, orria kargatu aurretik bi agerraldi gertatzen baitira. Kontsulta sistemak erabiltzeko konfiguratuta duen ebazpenera doa, eta erantzuna hura daraman sarearentzat ikusgai dago. Gero TLS elkarri-emateak eskatutako zerbitzari-izena argi eramaten du, bi muturretan Encrypted Client Hello onartzen ez bada. Bi agerraldiek ez dute deszifratzerik eskatzen, beraz tunelak ez du eraginik batean ere.

resolvectl status | grep -A2 "Link"
nslookup example.com

Zein ebazpen erabiltzen den benetan da esposizioa erabakitzen duena, eta neurtu egin daiteke eztabaidatu beharrean. Linux-en resolvectl status-k esteka bakoitzeko DNS zerbitzariak inprimatzen ditu, eta haren irteerak esaten dizu guneko ebazpenak ala bultzatutakoak erantzuten duen. Windows-ek galdera berari nslookup example.com-rekin erantzuten dio, zeinaren irteerako lehen blokea erantzun zuen DNS zerbitzaria den.

Ordenagailu eramangarriak tunela altxatu aurretik guneko ebazpenari galdetzen dionean, edo profilak ordezko zerbitzaririk gabe iristen denean eta zaharrak erabileran jarraitzen duenean, administratzaileak ostalari-izenak biltzen jarraitzen du ezer deszifratu gabe. Nabigatzaileko DNS zifratuak bultzatutako ebazpena saihesten du edo erabat blokeatuta uzten du eta itxita huts egiten du. Irteerako operadoreak izen berak ikusten ditu bere aldetik. Beraz, ebazpena aldatzeak ez du agerraldi hori tunel-hornitzailetik urruntzen.

Hirugarren baieztapena: inork ez daki konektatu zarela

Hirugarren baieztapena tunel batek ezin duena da, paketeak tokiko sarea zeharkatzen jarraitzen baitute. Sare horrek muturreko helbidea, gutxi gorabeherako bolumena, denbora eta bizitza luzeko saio zifratu baten existentzia ikasten ditu, eta hori nahikoa da blokeatzeko, moteltzeko edo besterik gabe ohartzeko. Pakete bat irakurri ezin duen suebakiak uko egin diezaioke hura pasatzeari. Behatua izatea ez da inork behatu ez izatea bezalakoa: behatzailea mugitu duzu, ez duzu ezabatu.

Tunel zatituak eta bultzatutako bidea alde batera uzten duen edozein aplikaziok tunelaz kanpoko fluxuak sortzen dituzte, lehen bezalaxe itxura dutenak. Fluxu horiek nabaritzen ditu lehenengo behatzaile arretatsuak, eta bezeroaren bide-taulak erakusten du zein helmuga dauden kanpoan.

Beste muturreko operadoreak ikuspegi horren ispilu-irudia dauka: irteera-helbidea, denbora, bolumena eta normalean guneen izenak. Zure hornitzailea ikuspegi-puntua duen aldea bihurtzen da, eta hori ikusezintasunaren itun desberdina da. Fidatzen zaren hornitzailea aukeratzea erabaki erreala da; emaitzari behatu gabea deitzea ez.

Erabaki zein baieztapen behar duzun

Idatzi baldintza lerro batean bezero bat ukitu aurretik: ezkutatu edukia, ezkutatu helmugak edo ezkutatu konektatu zinen ala ez. Edukia HTTPS-k eta tunelak jada lantzen dute, baina helmugek gunearen ekipamendua erabat saihesten duten ebazpen eta bide bat behar dituzte.

Hirugarren baldintza da deserosoa, zerbait oraindik ikusgai konektatuta baitago nonbait, zifratuta edo ez. Bezeroaren ezarpen batek ere ez du hori aldatzen. Baldintza eta politika bananduz gero, hutsune hori politikaren jabea den norbaitekin hizketaldian dagokio, ez bezeroaren aukeran. Erantzun diezaiokeen pertsona politika idatzi zuen pertsona da.