למה שורת scramble בפרופיל .ovpn דורשת לקוח מוטלא

פרופיל עם שורת scramble מיובא ללקוח הרשמי ואז נכשל בלחיצת היד, או מיובא כשהשורה נזרקת בשקט ומתחבר לכלום. ההוראה שייכת לבנייה מוטלא של OpenVPN ולא למערכת התכונות המקורית, ולכן לקוח שאינו נושא את הטלאי הזה אינו יכול לדבר את הפרוטוקול שנוצר. הוספת השורה לפרופיל רגיל אינה מוסיפה את המימוש. התאימות חייבת להתקיים בשני הקצוות לפני שהקובץ אומר משהו.

התייחסו לזה קודם כשאלת פרוטוקול ואחר כך כשאלת חנות אפליקציות.

האפשרות היא פורמט על הקו, לא העדפה

הטלאי scramble משנה איך נראות מנות המנהרה על הקו, בדרך כלל על ידי XOR של המטען עם ערך משותף. זה משנה את הבתים ששני הצדדים חייבים לייצר ולקבל, מה שהופך אותו להסכם פורמט ולא להגדרה מקומית. אם צד אחד מיישם את ההמרה והשני לא, נוצרת הפעלה שמאומתת ואז אינה נושאת דבר שמיש. ההגדרה מועילה רק כאשר שני הקצוות מריצים את אותה התנהגות מוטלא.

שני מוצרים יכולים שניהם לפרסם הסוואה ועדיין ליישם המרות בלתי תואמות. השם בתפריט אינו מפרט; הבנייה בפועל של המפעיל היא המפרט.

ייבוא הקובץ אינו תאימות

לקוחות שונים במה שהם עושים עם הוראה לא מוכרת. חלקם דוחים את הפרופיל לחלוטין, חלקם מזהירים וממשיכים, וחלקם זורקים את השורה ומתחברים בלחיצת יד רגילה. המקרה האחרון הוא המסוכן, מפני שהמנהרה עשויה להיווצר מול שרת שמקבל את שניהם ואז להיכשל רק בתעבורה. ייבוא מוצלח אפוא מוכיח שהמנתח סבל את השורה, לא שהחיבור יעבוד.

בדקו עם הלקוח והבנייה שהפריסה באמת דורשת, מול השרת שהמפעיל באמת מריץ.

ה-APK הוא החלטת שרשרת אספקה

בניית Android מוטלא קיימת מפני שמישהו הידר אותה, וקיומה אינו אומר דבר על מי שמתחזק אותה כעת. לפני אישור אחת, בעל הפריסה צריך לסקור את מהדורת המקור שממנה היא באה, כיצד הוטלא הטלאי, זהות החתימה ונתיב העדכון. אפליקציית VPN מטפלת באישורים ובכל התעבורה המכוסה, ולכן דף הורדה לא קשור אינו רשות הפצה מקובלת.

בקשו ממפעיל השירות את שילוב הלקוח הנתמך ואת ערוץ ההתקנה הנוכחי שלו. אם הערוץ הזה אינו קיים עוד, לפריסה יש בעיית תחזוקה שקובץ בינארי ישן אינו פותר.

הסוואה אינה הצפנה ואינה התחמקות

שינוי הפורמט הנראה של מנות אינו מחליף הצפנה, והוא אינו מבטיח שרשת לא תוכל לסווג את החיבור. תזמון, מוניטין נקודת הקצה והתעבורה שסביב עדיין נושאים מידע. שמרו על בדיקות זהות השרת שהפרופיל נשען עליהן, כמו אימות התעודה מול השם הצפוי, גם כאשר מטרת השכבה הנוספת היא לשנות מראה.

אל תחליפו tls-crypt או הגדרת פרוקסי בטלאי ותקראו לזה שווה ערך. כל אחד משנה חלק אחר של החיבור.

בקשו זוג מתוחזק

התוצאה שווה היא שני קצוות מתוחזקים ותואמים במפורש, עם נתיב עדכון מתועד בכל צד. אם זוג כזה אינו קיים, העריכו תעבורת שרת נתמכת או עיצוב גישה אחר במקום להחזיק אפליקציה ישנה בעלת הרשאה בחיים. ההחלטה הזו שייכת לבעל השירות, לא למי שמצא את ה-APK.

תיבת סימון scramble עובדת בלקוח היא תצפית מקומית על יכולת. היא אינה אומרת דבר על השרת עד שהפעלה אמיתית נושאת תעבורה.