Zer ikus dezakeen korporazio firewall batek VPN baten barruan, eta zer ez

Portatil berak etxetik lortzen du VPN-ra eta bulegotik ezin du konektatu, beraz norbaitek trafikoa irakurtzen du. Blokeatzea eta irakurtzea botere bereiziak dira, eta bigarrenak soilik behar du bideko puntu bat gehi bezeroak fidatzen duen ziurtagiri bat. Zure eskuko ukoa baztertzen duen bitarteko kaxak ez du ezer ikasi bidaliko zenukeenari buruz. Bi horietako zeini aurre egiten diozun erabakitzea da lan osoa.

Blokeatzea eta irakurtzea botere desberdinak dira

Ukoa merkea eta ozena da: socket-a irekitzen da eta ezerk ez du erantzuten, edo reset bat iristen da berehala. Horietako ezerk ez du ikuskapena esan nahi, ez baitzen karga-atalik hariatik igaro.

Irakurtzeko, babesa amaitzen duen, ziurtagiri bidez bere burua frogatzen duen eta aurrera konexio berri bat hasten duen mutur bat behar da. Mutur hori bidean egon behar da eta bezeroak fidatu behar du. Paketeak soilik birbidaltzen dituen firewallak ez du ez posiziorik ez kredentzialik.

Bilgarriak doan ematen duena

Tunel-pakete bakoitzak kanpoalde bat du, eta kanpoaldeak bideragarria izan behar du. Horrek bi helbide, protokolo bat, portu bat eta luzera bat esan nahi ditu, denbora eta bolumena gehituta. Edozein routerrek jada kudeatzen ditu eremu horiek, eta NAT batek helbidea eta portua berridazten ditu bere mapaketa-taula koherente mantentzeko. Karga zigilatuta geratzen da, beraz behaketa bi ostalarien artean tunel bat dagoela dioen egitatean gelditzen da.

Ostalari-izena ez dago horien artean. Guneak beste ate batzuetatik isurtzen dira, eta zabalena DNS da: portatilak oraindik tokiko resolver-ari galdetzen badio, izenak agerian agertzen dira.

Denborak eta bolumenak errespetua merezi dute gehiegikeriarik gabe. Byteak minutuko erakuts dezakete transferentzia handi bat 14:20etan hasten dela; ezin dute erakutsi zein fitxategik egin duen mugimendua. Hori portaerari buruzko benetako agerraldia da, eta edukiak irakurtzearen kategoria desberdina.

TLS intertzeptazioak jadanik fidatzen duzun erro bat behar du

Ikuskapen-gailu batek ez du TLS hausten; amaitzen du. Bezeroari erakundeak duen erro baten ziurtagiri batek erantzuten dio, eta bigarren konexio bat benetako helmugara doa. Bezeroak hau onartzen du erro hori bere konfiantza-biltegian dagoelako, eta horregatik kudeatutako portatil batek ez du abisurik erakusten. Kriptografia ez zen inoiz garaitu; muturra mugitu zen.

Horregatik ere antolamenduak frogak uzten ditu. Aurkeztutako kateko igorlea erakundearena da, ez CA publiko batena, eta bezeroak tresna berezirik gabe ikus dezake. Barne-erro batean amaitzen den katea intertzeptazioaren sinadura da, ez matxura.

Zergatik VPN kanal bat ez den HTTPS saio bat

VPN datu-kanal batek ez dio ikuskatzaileari halako euskarririk ematen. IKEv2 eta WireGuard-ek beren eskuko ukoak eta gako-plangintzak exekutatzen dituzte, amaitzeko TLSik gabe, bitartean OpenVPN bere kontrol-kanalerako TLS maileguan hartzen du forma aldatuan, datuak bere modura babestu aurretik. HTTPS-rako eraikitako proxy batek ez du saio hura antzematen, analiza dezakeen zerbait bezala.

Saio bat analizatu ezin duen gailu batek hala ere bota dezake. Horregatik VPN blokeoak timeout baten itxura izaten du, ez ziurtagiri-abisu baten, eta horregatik salbuespen batek ez du ezer aldatzen.

Egiaztatu zeure makinatik

Hasi guneak aurkezten duen katearekin. Nabigatzaileko gune-xehetasunek igorlea erakusten dute, eta komando-lerroak gauza bera jakinarazten du laburpenik gabe:

openssl s_client -connect example.com:443 -servername example.com

Ondoren bereizi ukatutako eskuko ukoa barne-trafiko iragazitik kontagailuekin. Erregistratu garraio-portua edozein drop-erregelaren aurretik eta irakurri saioaren ondoren:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Kanpoko socket-ean log-lerro ez egoteak eskuko ukoa inoiz irten ez zela esan nahi du, beraz bideak tunela ukatzen du. Osatutako eskuko ukoa eta helmuga batzuk soilik huts egiteak tunelak funtzionatzen duela eta barneko politikak ez duela esan nahi du. Bi emaitzetako batek ere ez zuen kargaren byte bat irakurtzea behar izan.

Benetan gertatzen den irakurketa ertzetan dago: tunel zatitu batek barneko HTTPS proxy korporatibo bati ematen dio, eta enpresaburuaren jabetzako kontzentratzaile batek dena erakusten du irteeran. Aurkitu duzuna aurkitu, ez ezazu ziurtagiri-egiaztapena desaktibatu konexioa behartzeko, egiaztapen hori baita ikuskapena erasotzailetik bereizten duen gauza bakarra.