Wat it pleatslike netwurk noch troch jo VPN sjocht

Trije waarnimmers wurde yn ien fraach gearfoege eltse kear as immen freget oft in VPN syn ferkear ferberget: it netwurk dêr’t er oan ferbûn is, de masine yn syn hannen en de operateur fan ’e tunnel. Elk leart wat oars, en de tunnel feroaret elk fan dy fisys op in oare manier. It helpt om de oare kant op te wurkjen en te begjinnen by de bewearing dy’t makke wurdt, want de bewearing is it ding dat ûndersyk trochstean moat. Beslis hokker bewearing jo nedich hawwe, en ferlykje dan ark dêrmei.

Bewearing ien: nimmen kin it ferkear lêze

Begjin mei de smelste bewearing: de lading bliuwt ûnlêsber. In passive waarnimmer op ’e wei kin net yn in TLS-sesje sjen, dat de tunnel foeget wat ta oan in side dy’t al HTTPS brûkt en foeget neat ta tsjin de twa einpunten. It part dat dizze bewearing brekt is wa’t it apparaat beheart, want in ynspeksjeproxy beëiniget de ferbining en ûndertekenet dy op ’e nij mei in woartel dy’t de masine al fertrout. Dêrom ferskynt it slot noch wylst de sertifikaatkeatling de namme draacht fan ’e organisaasje dy’t de woartel ynstallearre.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

Op macOS prints dy piip ien ûnderwerpregel foar elk sertifikaat yn ’e kaaihinge fan ’e masine, sûnder in finster te iepenjen, en op Windows listet certutil -store Root deselde opslach op dy’t certlm.msc grafysk toant. In woartel fan in skoalle, in wurkjouwer as in netwurkfeilichheidsprodukt is de ynskriuwing om nei te sykjen. Ien fine bewiist allinnich dat ûnderskepping mooglik is, net dat it bart.

Wat jo deroan dwaan kinne is in fraach fan belied ynstee fan technyk. It fuortheljen fan in profyl as in ynspeksjewoartel fan hardware dat jo net besitte skeint normaal de oerienkomst foar akseptabel gebrûk, en it behearsysteem merkt dat ornaris op en past it wer ta, dat in eask dat de eigner fan it apparaat jo ferkear net lêze mei ferget in oar apparaat ynstee fan in oare ynstelling.

Bewearing twa: nimmen kin sjen wêr’t jo hinne geane

De bestemming is de hurder bewearing, want twa iepenbaringen barre foardat in side lâdt. In opfraach giet nei de resolver dy’t it systeem konfigurearre is te brûken, en it antwurd is sichtber foar it netwurk dat it draacht. Dêrnei draacht de TLS-hânskodding de frege servernamme iepen, útsein as Encrypted Client Hello oan beide kanten stipe wurdt. Gjin fan beide iepenbaringen omfettet ûntsifering, dat de tunnel hat gjin effekt op ien fan beide.

resolvectl status | grep -A2 "Link"
nslookup example.com

Hokker resolver oft eins brûkt wurdt beslút de bleatstelling, en dat kin metten wurde ynstee fan deroer te diskusearjen. Op Linux print resolvectl status de DNS-tsjinners per keppeling, en syn útfier fertelt jo oft de resolver fan ’e side of de ynskoodde antwurdet. Windows antwurdet deselde fraach mei nslookup example.com, waans earste blok útfier de DNS-tsjinner is dy’t antwurde.

As de laptop de resolver fan ’e side opfreget foardat de tunnel omheech komt, of it profyl komt sûnder ferfangende tsjinner sadat de âlde yn gebrûk bliuwt, sammelet de behearder noch hieltyd hostnammen sûnder eat te ûntsiferjen. Fersifere DNS yn ’e browser giet of de ynskoodde resolver foarby of wurdt hielendal blokkearre en mislearret sletten. De útgongsoperateur sjocht deselde nammen fan syn kant. It feroarjen fan de resolver ferpleatst dy iepenbaring dus net by de tunneloanbieder wei.

Bewearing trije: nimmen wit dat jo ferbûn binne

De tredde bewearing is dejinge dy’t in tunnel net stypje kin, want de pakketten stekke noch hieltyd it pleatslike netwurk oer. Dat netwurk leart it einpuntadres, it ûngefear folume, de tiid en it bestean fan ien langduorjende fersifere sesje, wat genôch is om te blokkearjen, te beheinen of gewoan op te merken. In fjoermuorre dy’t in pakket net lêze kin, kin noch hieltyd wegerje it troch te litten. Besjoen wurde is net itselde as troch nimmen besjoen wurde: jo hawwe de waarnimmer ferpleatst, net fuorthelle.

Split-tunneling, en elke applikaasje dy’t de ynskoodde rûte negearret, meitsje streams bûten de tunnel dy’t der krekt sa útsjogge as earder. Dat binne de streams dy’t in soarchfâldige waarnimmer earst opmerkt, en de rûtetabel fan ’e klant lit sjen hokker bestimmingen útsletten binne.

De operateur oan ’e oare kant hâldt it spegelbyld fan dat byld: útgongsadres, tiid, folume en meastentiids de sidenammen. Jo oanbieder wurdt it part mei it útsjochpunt, wat in oare oerienkomst is as ûnsichtberens. In oanbieder kieze dy’t jo fertrouwe is in echte beslissing; it resultaat net-besjoen neame is dat net.

Beslis hokker bewearing jo nedich hawwe

Skriuw de eask op ien rigel foardat jo in klant oanreitsje: ferbergje de ynhâld, ferbergje de bestimmingen, of ferbergje oft jo uberhaupt ferbûn binne. Ynhâld wurdt al troch HTTPS tegearre mei de tunnel hanthavene, wylst bestimmingen in resolver en in paad freegje dy’t de apparatuer fan ’e side hielendal foarbygeane.

De tredde eask is de ûngemaklike, want earne is noch hieltyd sichtber eat ferbûn, fersifere of net. Gjin klantynstelling feroaret dat. As de eask en it belied útinoar geane, heart dy kleau yn in petear mei wa’t it belied besit, net yn in klantopsje. De persoan dy’t it beäntwurdzje kin is dejinge dy’t it belied skreau.