O que a rede local segue vendo a través da túa VPN

Tres observadores xúntanse nunha soa pregunta cada vez que alguén pregunta se unha VPN agocha o seu tráfico: a rede á que está conectado, a máquina que ten nas mans e o operador do túnel. Cada un aprende algo distinto, e o túnel cambia cada unha desas visións dun xeito diferente. Axuda traballar na dirección contraria e comezar pola afirmación que se fai, porque a afirmación é o que ten que sobrevivir ao escrutinio. Decide que afirmación necesitas e despois compara as ferramentas con ela.

Primeira afirmación: ninguén pode ler o tráfico

Comeza pola afirmación máis estreita: a carga útil segue sendo ilexible. Un observador pasivo no camiño non pode ver dentro dunha sesión TLS, así que o túnel engade pouco a un sitio que xa usa HTTPS e non engade nada contra os dous extremos. Quen rompe esta afirmación é quen controla o dispositivo, porque un proxy de inspección termina a conexión e vólvea asinar cunha raíz na que a máquina xa confía. Por iso o candado segue aparecendo mentres a cadea de certificados leva o nome da organización que instalou a raíz.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

En macOS esa tubería imprime unha liña de suxeito por cada certificado no chaveiro da máquina, sen abrir ningunha xanela, e en Windows certutil -store Root enumera o mesmo almacén que certlm.msc mostra graficamente. Unha raíz pertencente a unha escola, a un empregador ou a un produto de seguridade de rede é a entrada que hai que buscar. Atopar unha só demostra que a interceptación é posible, non que estea a ocorrer.

O que podes facer ao respecto é unha cuestión de política e non técnica. Quitar un perfil ou unha raíz de inspección dun hardware que non é teu normalmente incumpre o acordo de uso aceptable, e o sistema de xestión adoita decatarse e volver aplicalo, así que esixir que o propietario do dispositivo non lea o teu tráfico necesita outro dispositivo e non outro axuste.

Segunda afirmación: ninguén ve a onde vas

O destino é a afirmación máis difícil, porque se producen dúas revelacións antes de que cargue unha páxina. A consulta vai ao resolutor que o sistema teña configurado, e a resposta é visible para a rede que a transporta. Despois o aperto de mans TLS leva o nome do servidor solicitado en claro, salvo que Encrypted Client Hello estea admitido nos dous extremos. Ningunha das dúas revelacións implica descifrar, así que o túnel non ten efecto sobre ningunha.

resolvectl status | grep -A2 "Link"
nslookup example.com

Que resolutor se usa realmente decide a exposición, e pode medirse en lugar de discutirse. En Linux, resolvectl status imprime os servidores DNS por ligazón, e a súa saída diche se responde o resolutor do sitio ou o imposto. Windows responde á mesma pregunta con nslookup example.com, cuxo primeiro bloque de saída é o servidor DNS que respondeu.

Cando o portátil consulta o resolutor do sitio antes de que suba o túnel, ou o perfil chega sen un servidor de substitución e o vello segue en uso, o administrador segue recollendo nomes de host sen descifrar nada. O DNS cifrado do navegador ou ben evita o resolutor imposto ou ben queda bloqueado de todo e falla pechado. O operador de saída ve os mesmos nomes desde o seu lado. Por iso cambiar o resolutor non afasta esa revelación do provedor do túnel.

Terceira afirmación: ninguén sabe que te conectaches

A terceira afirmación é a que un túnel non pode sosterse, porque os paquetes seguen cruzando a rede local. Esa rede aprende o enderezo do extremo, o volume aproximado, o momento e a existencia dunha sesión cifrada de longa duración, o que abonda para bloquear, limitar ou simplemente notar. Unha devasa que non pode ler un paquete aínda pode negarse a deixalo pasar. Estar vixiado non é o mesmo que non ser vixiado por ninguén: moviches o observador, non o borraches.

O túnel dividido, e calquera aplicación que ignore a ruta imposta, producen fluxos fóra do túnel que se ven exactamente como antes. Esos son os fluxos que un observador atento nota primeiro, e a táboa de rutas do cliente mostra que destinos quedan excluídos.

O operador do outro extremo ten a imaxe espello desa vista: enderezo de saída, momento, volume e normalmente os nomes dos sitios. O teu provedor pasa a ser a parte co miradoiro, o que é un trato distinto da invisibilidade. Escoller un provedor no que confías é unha decisión real; chamarlle non observado ao resultado, non.

Decide que afirmación necesitas

Escribe o requisito nunha liña antes de tocar un cliente: agochar o contido, agochar os destinos ou agochar se te conectaches. O contido xa o resolven HTTPS e o túnel, mentres que os destinos requiren un resolutor e un camiño que eviten por completo o equipamento do sitio.

O terceiro requisito é o incómodo, porque algo segue visiblemente conectado nalgún lugar, cifrado ou non. Ningún axuste do cliente cambia iso. Se o requisito e a política se separan, esa fenda pertence a unha conversa con quen posúe a política, non a unha opción do cliente. Quen pode respondelo é quen escribiu a política.