VPN:n tunnistus riippuu siitä, mistä katsot

Kaksi tunnistinta voi tarkkailla samaa käyttäjää ja olla eri mieltä, molemmat oikeassa. Liityntälinkin vieressä oleva tarkkailija näkee VPN:n ulomman keskustelun; verkkosivusto näkee sovellusyhteyden, joka saapuu ulostulosta. Ne ovat eri yhteyksiä, joilla on eri sormenjäljet, eivätkä yhden todisteet siirry toiseen. Havaintopisteen nimeäminen ennen minkään TLS- tai TCP-testin käsittelyä on se, mikä tekee väitteestä merkityksellisen.

Tunnistin, joka ei ilmoita havaintopistettä, kuvaa mielipidettä eikä mittausta.

Kaksi havaintopistettä, kaksi eri yhteyttä

Ulompi keskustelu kuuluu tunneliprotokollalle: omat viestimuodot, oma tilakone, oma ajoitus. Sisempi yhteys on selain, joka avaa TLS:n verkkosivustoon, kulkee tunnelin läpi ja välitetään sitten ulostulosta. Molemmat ovat olemassa samalla hetkellä, eivätkä ne ole sama virta. Toinen on se, mitä liityntäverkko voi nähdä, toinen se, mitä kohde voi nähdä, ja välissä oleva laite, joka päättää jommankumman, muuttaa molempia kuvia.

Tämä ero selittää suurimman osan tunnistuskeskustelujen sekaannuksesta. Testi, joka kertoo yhden asian virrasta, vastaa usein eri kerrosta koskevaan kysymykseen kuin operaattorilla oli mielessään.

Mitä liityntäpolun tarkkailija näkee

Liityntälinkin vieressä näkyvä aineisto on itse tunneliprotokolla: ohjaus- ja datapakettityypit OpenVPN:lle, WireGuardin kiinteän kokoiset kättely- ja datakuviot tai mikä tahansa käyttöönoton lisäämä kääre. Se, voiko luokittelija tunnistaa ne, riippuu siitä, mikä on näkyvää, mikä siirtotie ne kuljettaa ja onko lisähämäröintiä. Tunnistettava kuvio on todiste virrasta, ei todiste sen takana olevan henkilön henkilöllisyydestä tai aikomuksesta.

Portti 443 on käytäntö palvelun saavuttamiseksi. Se ei tee jokaisesta tunnelinsiirtotiestä HTTPS:ää.

Mitä verkkosivusto todella näkee

Reititetyn tunnelin kanssa selain käy yhä oman TLS-istuntonsa sivuston kanssa. Ulostulossa tehtävä käännös ei tee VPN-yhdyskäytävästä selaimen TLS-päätepistettä, joten sivuston vastaanottama ClientHello kuvaa selainta tai sen TLS-kirjastoa. JA3-tyylinen sormenjälki luonnehtii siis sovellusyhteyttä, ei sitä kuljettavaa VPN-ohjelmistoa. Vain tarkoituksella päättävä välityspalvelin muuttaa tätä järjestelyä, ja se on tunnistettava erikseen.

TCP-havainnot vaativat saman huolellisuuden. Välitys, käännös ja uuden yhteyden avaava välityspalvelin ovat kolme eri suunnittelua, ja vain yksi niistä kirjoittaa siirtokerroksen uudelleen. Yksi epätavallinen ominaisuus ei merkitse yksiselitteisesti tunnelia.

Pidä väite todisteiden sisällä

Verkkoluokittelu, protokollan tarkkailu, sovellussormenjäljet ja tilitunnukset ovat riskipäätöksen syötteitä, kullakin väärät positiiviset, väärät negatiiviset ja puuttuvat todisteet. Hosting-alueen osoite ei todista mitään kaupallisesta VPN:stä, eikä tavallinen selainsormenjälki todista mitään suorasta. Kun arvioit tunnistinta, käytä valtuutettua aineistoa, jossa on tunnetut polut, ja kirjaa, mikä havainto tuotti minkäkin tuloksen.

Pidä protokollaluokittelu erillään seurauksellisesta pääsypäätöksestä. Räätälöity vastaus tai väärin muotoillun paketin temppu ei vahvista sen takana olevaa päätelmää; se vain painostaa arvausta.

Hyödyllinen raportti nimeää havainnon, havaintopisteen ja varmuuden. Pelkkä rivi «VPN havaittu» kätkee juuri sen osan, jonka avulla joku voisi tarkistaa sen.