VPN-kaappaus: sisäpaketit tun0:ssa, kirjekuori eth0:ssa

Kaappaus VPN-isännällä ei tallenna yhtä ainoaa asiaa. Ydin paljastaa paketin kahdesti: käärittynä fyysisellä sovittimella ja purettuna tunnelilaitteella. Liitännän valitseminen on sen valitsemista, kumman näistä tarinoista luet. Useimmat väittelyt siitä, mitä kaappaus todistaa, ovat itse asiassa väittelyitä siitä, mikä tarina kerättiin.

Kapselointi luo kaksi näkymää

Tunneli ottaa paketin, jonka sovellus tuotti, ja laittaa sen uuden sisään, jonka kohde on VPN-palvelin. Sisempi muoto näkyy tun0, wg0 tai millä tahansa laitteella, jonka asiakas loi. Ulompi muoto näkyy sovittimella, joka kuljettaa sen verkkoon. Molemmat muodot ovat legitiimejä; ne vastaavat eri kysymyksiin. Kerää kumpikin erikseen, koska niillä on eri otsikot ja eri lukijat.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

Pseudo-liitäntä any on huono valinta tähän vertailuun. Edelleenlähetetyt paketit voidaan tallentaa kahdesti, ja paikallisesti luotu paketti näkyy molemmissa muodoissa, mikä paisuttaa laskureita. Jos jokin luku näyttää mahdottomalta, tarkista liitäntä ennen kuin syytät tunnelia.

Tunnelin sisällä paketti on tavallinen

Tunnelilaitteella se, mitä näet, on se, mitä sovellus pyysi ydintä lähettämään. Kohdeosoitteet, portit, DNS-nimet, TLS-palvelinnimet, koot ja ajoitus ovat kaikki siellä. TLS-hyötykuorma pysyy sovelluksen oman istunnon salaamana, joten kaappaus ei paljasta sivun sisältöä. Selkokielinen DNS-kysely näkyy tässä, vaikka sen kantaja on salattu, koska sitä ei koskaan suojattu.

Salattu DNS poistaa tuon yhden näkyvän kentän. Se ei piilota kohdeosoitetta, tavumäärää tai rytmiä, jotka ovat virran eivätkä kyselyn ominaisuuksia.

Ulkopuolella vain kirjekuori ja sen muoto

Fyysinen sovitin näyttää osoitteesi, palvelimen osoitteen, portin, pakettien koot ja ajoituksen. Sisällä kuljetetut kohteet puuttuvat, vaikka niiden muoto voi yhä tukea päättelyä. Koot ja rytmi voivat viitata videovirtaan, suureen siirtoon tai keskusteluistuntoon nimeämättä yhtäkään niistä. Lähellä oleva tarkkailija näkee suunnilleen saman näkymän, mikä selittää, miten tunneli voi piilottaa sivustoja samalla kun se mainostaa omaa läsnäoloaan.

Tuo väite riippuu reitityksestä. Kapeampi reitti, IPv6-oletusreitti, joka ei mene tunneliin, tai fyysiseen liitäntään sidottu prosessi vie liikenteen kirjekuoren ulkopuolelle. Lue todellinen reitti ennen kuin teet johtopäätöksiä kaappauksesta.

Vastapuolen osoite ja kaappauksen hygienia

TCP-tilassa OpenVPN pitää muodostettua pistoketta, joten pistoketaulukko voi nimetä vastapuolen. UDP-tilassa OpenVPN jättää pistokkeen usein yhdistämättä, ja ss voi näyttää vain paikallisen puolen. Lue sen sijaan profiilin remote, yksityiskohtainen asiakasloki tai reitti päätepisteeseen. WireGuard raportoi päätepisteensä ja viimeisimmän kättelyn suoraan.

wg show
ss -tunp | grep 51820

Kaappaustiedosto elää pidempään kuin sen tuottanut istunto. Se voidaan kopioida, ja se voi olla luettavissa kenelle tahansa, jolla on paikallinen pääsy. Säilytä vain se, mitä tutkinta tarvitsee, rajoita käyttöoikeuksia ja poista se, kun työ on valmis.

Jaettavan kaappauksen tulisi kertoa, mikä liitäntä sen tuotti ja milloin. Ilman tuota merkintää seuraavan lukijan täytyy arvata, mitä kerrosta hän katsoo.