זיהוי VPN תלוי במקום שממנו אתם צופים

שני גלאים יכולים לצפות באותו משתמש ולחלוק, ושניהם צודקים. צופה לצד קישור הגישה רואה את השיחה החיצונית של ה-VPN; האתר רואה את חיבור היישום שמגיע מהיציאה. אלה חיבורים שונים עם טביעות אצבע שונות, וראיות מאחד אינן עוברות לשני. מתן שם לנקודת התצפית לפני דיון בכל בדיקת TLS או TCP הוא מה שהופך את הטענה למשמעותית.

גלאי בלי נקודת תצפית מוצהרת מתאר דעה ולא מדידה.

שתי נקודות תצפית, שני חיבורים שונים

השיחה החיצונית שייכת לפרוטוקול המנהרה: פורמטי ההודעות שלה, מכונת המצבים שלה, התזמון שלה. החיבור הפנימי הוא הדפדפן שפותח TLS לאתר, נישא דרך המנהרה ולאחר מכן מועבר מהיציאה. שניהם קיימים באותו רגע והם אינם אותו זרם. האחד הוא מה שרשת גישה יכולה לראות, השני הוא מה שהיעד יכול לראות, וקופסה אמצעית שמסיימת את אחד מהם משנה את שתי התמונות.

ההבדל הזה מסביר את רוב הבלבול בדיוני זיהוי. בדיקה שמדווחת דבר אחד על זרם עונה לעיתים קרובות על שאלה בנוגע לשכבה אחרת מזו שהייתה בראשו של המפעיל.

מה רואה הצופה בנתיב הגישה

לצד קישור הגישה החומר הנראה הוא פרוטוקול המנהרה עצמו: סוגי מנות בקרה ונתונים עבור OpenVPN, דפוסי לחיצת היד והנתונים בגודל קבוע של WireGuard, או כל עטיפה שהפריסה מוסיפה. האם מסווג יכול לזהות אותם תלוי במה שנראה, איזה נושא נושא אותם והאם יש ערפול נוסף. דפוס מזוהה הוא ראיה על זרם, ולא ראיה על זהותו או כוונתו של האדם שמאחוריו.

פורט 443 הוא מוסכמה להגעה לשירות. הוא אינו הופך כל נושא מנהרה ל-HTTPS.

מה האתר באמת רואה

עם מנהרה מנותבת הדפדפן עדיין מנהל הפעלת TLS משלו עם האתר. תרגום ביציאה אינו הופך את שער ה-VPN לנקודת הקצה של TLS של הדפדפן, ולכן ה-ClientHello שהאתר מקבל מתאר את הדפדפן או את ספריית ה-TLS שלו. טביעת אצבע בסגנון JA3 מאפיינת אפוא את חיבור היישום, ולא את תוכנת ה-VPN שנושאת אותו. רק פרוקסי שמסיים בכוונה משנה את הסידור הזה, ויש לזהות אותו בנפרד.

תצפיות TCP דורשות אותה זהירות. העברה, תרגום ופרוקסי שפותח חיבור חדש הם שלושה עיצובים שונים, ורק אחד מהם כותב מחדש את מחסנית התעבורה. מאפיין חריג אחד אינו מרמז באופן ייחודי על מנהרה.

השאירו את הטענה בתוך הראיות

סיווג רשת, תצפית פרוטוקול, טביעות אצבע של יישומים ואותות חשבון הם קלטים להחלטת סיכון, כל אחד עם חיוביים שגויים, שליליים שגויים וראיות חסרות. כתובת בטווח אחסון אינה מוכיחה דבר על VPN מסחרי, וטביעת אצבע נפוצה של דפדפן אינה מוכיחה דבר על ישיר. כשאתם מעריכים גלאי, השתמשו במערך נתונים מורשה עם נתיבים ידועים ורשמו איזו תצפית הפיקה כל תוצאה.

הפרידו את סיווג הפרוטוקול מהחלטת גישה בעלת השלכות. תגובה מותאמת או תחבולת מנה פגומה אינה מאמתת את ההסקה שמאחוריה; היא רק מפעילה לחץ על השערה.

דוח שימושי נוקב בתצפית, בנקודת התצפית וברמת הביטחון. שורה עירומה «זוהה VPN» מסתירה בדיוק את החלק שמאפשר למישהו לבדוק אותה.