VPN-deteksje hinget derfan ôf wêr’t jo sjogge

Twa detektors kinne deselde brûker besjen en fan miening ferskille, en beide kinne gelyk hawwe. In waarnimmer njonken de tagongskeppeling sjocht it bûtenste petear fan de VPN; de website sjocht de applikaasjeforbining dy’t fan de útgong komt. Dat binne ferskate ferbiningen mei ferskate fingerôfdrukken, en bewiis fan de iene draacht net oer nei de oare. It neamen fan it waarnimmingspunt foardat in TLS- of TCP-test besprutsen wurdt, is wat de bewearing betsjuttingsfol makket.

In detektor sûnder neamd waarnimmingspunt beskriuwt in miening ynstee fan in mjitting.

Twa waarnimmingspunten, twa ferskate ferbiningen

It bûtenste petear heart by it tunnelprotokol: eigen berjochtformaten, eigen tastânmasine, eigen timing. De binnenste ferbining is de browser dy’t TLS nei de website iepenet, troch de tunnel droegen en dan fan de útgong trochstjoerd. Beide bestean op itselde momint en se binne net deselde stream. Ien is wat in tagongsnetwurk sjen kin, it oare is wat de bestimming sjen kin, en in tuskenboks dy’t ien fan beide beëiniget, feroaret beide bylden.

Dat ferskil ferklearret it measte fan de betizing yn deteksjediskusjes. In test dy’t ien ding oer in stream rapportearret, beantwurdet faak in fraach oer in oare laach as dy’t de operator yn ’t sin hie.

Wat de waarnimmer op it tagongspaad sjocht

Njonken de tagongskeppeling is it sichtbere materiaal it tunnelprotokol sels: kontrôle- en datapakkettypen foar OpenVPN, de fêste grutte hânskûk- en datapatroanen fan WireGuard, of hokker omskot de útrôlning ek tafoeget. Oft in klassifisearrer se identifisearje kin, hinget ôf fan wat sichtber is, hokker ferfier it draacht en oft der ekstra fertsjustering is. In werkenber patroan is bewiis oer in stream, en gjin bewiis oer de identiteit of bedoeling fan de persoan derachter.

Poarte 443 is in konvinsje om in tsjinst te berikken. It makket net elk tunnelferfier HTTPS.

Wat de website eins sjocht

Mei in rûte tunnel fiert de browser noch hieltyd syn eigen TLS-sesje mei de side. Oersetting by de útgong makket de VPN-gateway net it TLS-einpunt fan de browser, dat de ClientHello dy’t de side ûntfangt beskriuwt de browser of syn TLS-bibleteek. In fingerôfdruk yn JA3-styl karakterisearret dêrom de applikaasjeforbining, net de VPN-software dy’t it draacht. Allinne in bewust beëinigjende proxy feroaret dy oardering, en dy moat apart identifisearre wurde.

TCP-waarnimmings hawwe deselde soarch nedich. Trochstjoeren, oersetten en in proxy dy’t in nije ferbining begjint, binne trije ferskate ûntwerpen, en mar ien fan harren skriuwt de ferfiersstapel oer. Ien ûngewoan skaaimerk betsjut net unyk in tunnel.

Hâld de bewearing binnen it bewiis

Netwurkklassifikaasje, protokolwaarnimming, applikaasjefingerôfdrukken en akkountsignalen binne ynput foar in risikobeslút, elk mei falske posityf, falske negatyf en ûntbrekkend bewiis. In adres yn in hostingberik bewiist neat oer in kommersjele VPN, en in gewoane browserfingerôfdruk bewiist neat oer in direkte. As jo in detektor beoardielje, brûk dan in autorisearre dataset mei bekende paden en registrearje hokker waarnimming elk resultaat levere.

Hâld protokolklassifikaasje apart fan in gefolchhawwende tagongsbeslissing. In oanpast antwurd of in trúk mei misfoarme pakketten befêstiget de konklúzje dêrefter net; it set allinne druk op in fermoeden.

In brûkber rapport neamt de waarnimming, it waarnimmingspunt en it fertrouwen. In keale rigel «VPN ûntdutsen» ferberget krekt dat part dat immen it kontrolearje litte soe.