La détection VPN dépend de l’endroit d’où vous observez

Deux détecteurs peuvent surveiller le même utilisateur et diverger, tous deux correctement. L’observateur à côté du lien d’accès voit la conversation extérieure du VPN ; le site web voit la connexion applicative qui arrive depuis la sortie. Ce sont des connexions différentes avec des empreintes différentes, et la preuve de l’une ne se transfère pas à l’autre. Nommer le point d’observation avant de discuter de tout test TLS ou TCP est ce qui rend l’affirmation significative.

Un détecteur sans point d’observation déclaré décrit une opinion et non une mesure.

Deux points d’observation, deux connexions différentes

La conversation extérieure appartient au protocole du tunnel : ses propres formats de message, sa propre machine d’état, sa propre synchronisation. La connexion intérieure est le navigateur ouvrant TLS vers le site web, transportée par le tunnel puis transmise depuis la sortie. Les deux existent au même moment et ce n’est pas le même flux. L’une est ce qu’un réseau d’accès peut voir, l’autre est ce que la destination peut voir, et un équipement intermédiaire qui termine l’une ou l’autre modifie les deux images.

Cette différence explique l’essentiel de la confusion dans les discussions sur la détection. Un test qui rapporte une chose sur un flux répond souvent à une question sur une autre couche que celle que l’opérateur avait en tête.

Ce que voit l’observateur du chemin d’accès

À côté du lien d’accès, le matériel visible est le protocole du tunnel lui-même : types de paquets de contrôle et de données pour OpenVPN, les motifs fixes de poignée de main et de données de WireGuard, ou tout emballage ajouté par le déploiement. Qu’un classifieur puisse les identifier dépend de ce qui est visible, du transport qui les porte et de la présence d’une obfuscation supplémentaire. Un motif reconnaissable est une preuve sur un flux, et non une preuve sur l’identité ou l’intention de la personne derrière.

Le port 443 est une convention pour atteindre un service. Il ne transforme pas tout transport de tunnel en HTTPS.

Ce que le site web voit réellement

Avec un tunnel routé, le navigateur exécute toujours sa propre session TLS avec le site. La traduction à la sortie ne transforme pas la passerelle VPN en point de terminaison TLS du navigateur, donc le ClientHello que reçoit le site décrit le navigateur ou sa bibliothèque TLS. Une empreinte de style JA3 caractérise donc la connexion applicative, et non le logiciel VPN qui la transporte. Seul un proxy qui termine délibérément modifie cette disposition, et il doit être identifié séparément.

Les observations TCP exigent le même soin. Le transfert, la traduction et un proxy qui ouvre une nouvelle connexion sont trois conceptions différentes, et une seule réécrit la pile de transport. Une seule caractéristique inhabituelle n’implique pas de manière unique un tunnel.

Gardez l’affirmation dans les preuves

La classification réseau, l’observation de protocoles, les empreintes applicatives et les signaux de compte sont des entrées pour une décision de risque, chacune avec des faux positifs, des faux négatifs et des preuves manquantes. Une adresse dans une plage d’hébergement ne prouve rien sur un VPN commercial, et une empreinte de navigateur courante ne prouve rien sur un VPN direct. Lorsque vous évaluez un détecteur, utilisez un jeu de données autorisé avec des chemins connus et notez quelle observation a produit chaque résultat.

Gardez la classification de protocole séparée d’une décision d’accès à conséquences. Une réponse personnalisée ou une astuce de paquet malformé ne valide pas l’inférence qui la sous-tend ; elle ne fait qu’exercer une pression sur une conjecture.

Un rapport utile nomme l’observation, le point d’observation et la confiance. Une simple ligne « VPN détecté » cache exactement la partie qui permettrait à quelqu’un de la vérifier.