Mitä yrityksen palomuuri voi nähdä VPN:n sisällä ja mitä ei

Sama kannettava pääsee VPN:ään kotoa eikä saa yhteyttä toimistosta, joten jonkun täytyy lukea liikennettä. Estäminen ja lukeminen ovat erillisiä valtuuksia, ja vain jälkimmäinen tarvitsee pisteen polulla sekä sertifikaatin, johon asiakas luottaa. Välilaite, joka pudottaa kättelysi, ei oppinut mitään siitä, mitä olisit lähettänyt. Sen ratkaiseminen, kumman kanssa olet tekemisissä, on koko työ.

Estäminen ja lukeminen ovat eri valtuuksia

Hylkäys on halpa ja äänekäs: pistorasia avautuu eikä mikään vastaa, tai nollaus saapuu heti. Mikään siitä ei tarkoita tarkastusta, koska mikään hyötykuorma ei ylittänyt johtoa.

Lukeminen vaatii päätepisteen, joka lopettaa suojauksen, todistaa itsensä sertifikaatilla ja aloittaa uuden yhteyden eteenpäin. Sen pisteen on oltava polulla ja asiakkaan luottama. Palomuuri, joka vain välittää paketteja, ei omista kumpaakaan: asemaa eikä valtuuskirjaa.

Mitä kääre antaa ilmaiseksi

Jokaisella tunnelipaketilla on ulkopuoli, ja ulkopuolen on oltava reititettävä. Se tarkoittaa kahta osoitetta, protokollaa, porttia ja pituutta sekä ajoitusta ja määrää. Jokainen reititin käsittelee jo noita kenttiä, ja NAT kirjoittaa osoitteen ja portin uudelleen pitääkseen kartoitustaulunsa johdonmukaisena. Hyötykuorma pysyy sinetöitynä, joten havainto pysähtyy siihen, että kahden isännän välillä on tunneli.

Isäntänimi ei ole niiden joukossa. Sivustot vuotavat muista ovista, ja levein on DNS: jos kannettava yhä kysyy paikalliselta ratkaisijalta, nimet näkyvät selvästi.

Ajoitus ja määrä ansaitsevat kunnioitusta liioittelematta. Tavua minuutissa voivat näyttää, että suuri siirto alkaa kello 14:20; ne eivät voi näyttää, mikä tiedosto liikkui. Se on todellinen paljastus käyttäytymisestä ja eri luokka kuin sisällön lukeminen.

TLS-sieppaus tarvitsee juuren, johon jo luotat

Tarkastava laite ei murra TLS:ää; se lopettaa sen. Asiakkaalle vastaa sertifikaatti juuresta, jonka organisaatio omistaa, ja toinen yhteys menee todelliseen kohteeseen. Asiakas hyväksyy tämän, koska juuri on sen luottamusvarastossa, minkä vuoksi hallittu kannettava ei näytä varoitusta. Kryptografiaa ei koskaan voitettu; päätepiste siirrettiin.

Siksi järjestely jättää todisteita. Esitetyn ketjun myöntäjä kuuluu organisaatiolle eikä julkiselle CA:lle, ja asiakas näkee sen ilman erikoistyökaluja. Ketju, joka päättyy sisäiseen juureen, on sieppauksen allekirjoitus, ei vika.

Miksi VPN-kanava ei ole HTTPS-istunto

VPN:n datakanava ei anna tarkastajalle sellaista jalansijaa. IKEv2 ja WireGuard ajavat omat kättelynsä ja avainohjelmansa ilman lopetettavaa TLS:ää, kun taas OpenVPN lainaa TLS:n ohjauskanavalleen muokatussa muodossa ennen kuin suojaa tiedot omalla tavallaan. HTTPS:ää varten rakennettu välityspalvelin ei tunnista tuota istuntoa joksikin, jonka se voisi jäsentää.

Laite, joka ei pysty jäsentämään istuntoa, voi silti pudottaa sen. Siksi VPN:n estäminen näyttää yleensä aikakatkaisulta eikä sertifikaattivaroitukselta, ja siksi poikkeus ei muuta mitään.

Tarkista omalta koneeltasi

Aloita ketjusta, jonka sivusto esittää. Selaimen sivustotiedot näyttävät myöntäjän, ja komentorivi kertoo saman ilman yhteenvetoa:

openssl s_client -connect example.com:443 -servername example.com

Erota sitten hylätty kättely suodatetusta sisäisestä liikenteestä laskureilla. Kirjaa kuljetusportti ennen mitä tahansa pudotussääntöä ja lue ne yrityksen jälkeen:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Ei lokiriviä ulommassa pistokkeessa tarkoittaa, että kättely ei koskaan lähtenyt, joten polku hylkää tunnelin. Valmis kättely, jossa vain osa kohteista epäonnistuu, tarkoittaa, että tunneli toimii ja sisäinen käytäntö ei. Kumpikaan tulos ei vaatinut hyötykuorman tavun lukemista.

Lukeminen, jota todella tapahtuu, istuu reunoilla: jaettu tunneli antaa sisäisen HTTPS:n yrityksen välityspalvelimelle, ja työnantajan omistama keskitin paljastaa kaiken ulostulossa. Mitä tahansa löydät, älä poista sertifikaatin vahvistusta käytöstä pakottaaksesi yhteyden, koska se tarkistus on ainoa asia, joka erottaa tarkastuksen hyökkääjästä.