Wêrom't in scramble-rigel yn in .ovpn-profy in patchte klant fereasket

In profy mei in scramble-rigel wurdt yn ’e offisjele klant ymportearre en mislearret dan by de hânskud, of wurdt ymportearre mei de rigel stilwei weilitten en ferbynt mei neat. De direktive heart by in patchte build fan OpenVPN ynstee fan ’e oarspronklike funksjeset, dus in klant sûnder dy patch kin it resultearjende protokol net sprekke. It tafoegjen fan ’e rigel oan in normaal profy foeget de ymplemintaasje net ta. Kompatibiliteit moat oan beide einen bestean foardat it bestân eat betsjut.

Behannelje it earst as in protokolkwestje en dêrnei as in app-winkelkwestje.

De opsje is in triedformaat, net in foarkar

De scramble-patch feroaret hoe't de pakketten fan ’e tunnel op ’e tried derút sjogge, meastentiids troch de lading mei in mienskiplike wearde te XOR-en. Dat feroaret de bytes dy't beide partijen produsearje en akseptearje moatte, wat it in formaatoerienkomst makket ynstee fan in lokale ynstelling. As ien kant de transformaasje tapast en de oare net, ûntstiet in sesje dy't autentisearret en dêrnei neat brûkbers draacht. De ynstelling is allinnich sinfol as beide einen itselde patchte gedrach útfiere.

Twa produkten kinne beide obfuskasje advertearje en dochs ynkompatibele transformaasjes ymplementearje. De namme yn in menu is gjin spesifikaasje; de werklike build fan ’e operator is dat.

It bestân ymportearje is gjin kompatibiliteit

Klanten ferskille yn wat se mei in ûnbekende direktive dogge. Guon wegerje it profy daliks, guon warskôgje en geane troch, en guon litte de rigel falle en ferbine mei in gewoane hânskud. It lêste gefal is it gefaarlike, want de tunnel kin tsjin in tsjinner ta stân komme dy't beide akseptearret en dan allinnich op it ferkear mislearje. In suksesfolle ymport bewiist dus dat de parser de rigel ferneare hat, net dat de ferbining wurkje sil.

Test mei de klant en build dy't de útrulling echt fereasket, tsjin de tsjinner dy't de operator echt draait.

De APK is in beslút oer de leveringsketen

In patchte Android-build bestiet om't immen dy kompilearre hat, en it bestean seit neat oer wa't dy no ûnderhâldt. Foardat ien goedkard wurdt, moat de eigner fan ’e útrulling de boarnerivyzje besjen dêr't it út kaam, hoe't de patch tapast is, de ûndertekeningsidentiteit en it bywurkpaad. In VPN-applikaasje behannelet befinings en al it bedutsen ferkear, dus in net besibbe downloadside is gjin akseptabele distribúsjeautoriteit.

Freegje de tsjinstoperator om ’e stipe klantkombinaasje en har hjoeddeistige ynstallaasjekanaal. As dat kanaal net mear bestiet, hat de útrulling in ûnderhâldsprobleem dat in âlde binêre bestân net oplost.

Obfuskasje is gjin fersifering en gjin ferberging

It sichtbere formaat fan pakketten feroarje ferfangt gjin fersifering en garandearret net dat in netwurk de ferbining net klassearje kin. Timing, reputaasje fan it einpunt en it omlizzende ferkear drage noch ynformaasje. Hâld de tsjinner-identiteitskontrôles dêr't it profy op steunt, lykas sertifikaatferifikaasje tsjin de ferwachte namme, sels as it doel fan ’e ekstra laach is om it oansjen te feroarjen.

Ferfange tls-crypt of in proxy-ynstelling net troch de patch en neam it ekwivalint. Elk feroaret in oar diel fan ’e ferbining.

Freegje om in ûnderhâlden pear

It resultaat dat it wurdich is, binne twa einen dy't ûnderhâlden en eksplisyt kompatibel binne, mei in dokumintearre bywurkpaad oan elke kant. As sa'n pear net bestiet, evaluearje in stipe tsjinnerferfier of in oar tagongsûntwerp ynstee fan in befoarrjochte âlde applikaasje yn libben te hâlden. Dat beslút heart by de tsjinst-eigner, net by wa't de APK fûn hat.

In wurkjend scramble-kontrôlefakje op ’e klant is in lokale waarnteming fan fermogen. It seit neat oer de tsjinner oant in echte sesje ferkear draacht.