Što korporativni vatrozid može, a što ne može vidjeti unutar VPN-a

Isti prijenosnik dolazi do VPN-a od kuće, a iz ureda se ne može spojiti, pa netko mora čitati promet. Blokiranje i čitanje dvije su različite ovlasti i samo drugoj treba mjesto na putu plus certifikat kojemu klijent vjeruje. Posrednik koji odbaci vaše rukovanje nije naučio ništa o onome što biste poslali. Odlučiti s kojim od to dvoje se susrećete cijeli je posao.

Blokiranje i čitanje različite su ovlasti

Odbijanje je jeftino i glasno: utičnica se otvori i ništa ne odgovori ili odmah stigne reset. Ništa od toga ne znači inspekciju jer nikakav teret nije prešao žicom.

Čitanje zahtijeva krajnju točku koja prekida zaštitu, dokazuje se certifikatom i započinje novu vezu dalje. Ta točka mora stajati na putu i uživati povjerenje klijenta. Vatrozid koji samo prosljeđuje pakete nema ni položaj ni vjerodajnicu.

Što omotač daje besplatno

Svaki paket tunela ima vanjsku stranu, a vanjska strana mora biti usmjeriva. To znači dvije adrese, protokol, port i duljinu, uz vrijeme i obujam. Svaki usmjerivač već obrađuje ta polja, a NAT prepisuje adresu i port kako bi njegova tablica mapiranja ostala dosljedna. Teret ostaje zapečaćen, pa se promatranje zaustavlja na činjenici da između dva računala postoji tunel.

Naziv računala nije među njima. Stranice cure kroz druga vrata, a najšira su DNS: ako prijenosnik još pita lokalni razrješivač, imena se pojavljuju otvoreno.

Vrijeme i obujam zaslužuju poštovanje, ali bez pretjerivanja. Bajtova u minuti mogu pokazati da je velik prijenos počeo u 14:20; ne mogu pokazati koja je datoteka otišla. To je stvarno otkrivanje ponašanja i drukčija kategorija od čitanja sadržaja.

TLS presretanje traži korijen kojemu već vjerujete

Uređaj koji pregledava ne lomi TLS; on ga završava. Klijentu odgovara certifikat iz korijena koji posjeduje organizacija, a druga veza ide prema stvarnom odredištu. Klijent to prihvaća jer taj korijen stoji u njegovu spremištu povjerenja, zato upravljani prijenosnik ne pokazuje upozorenje. Kriptografija nikada nije pobijeđena; krajnja točka je premještena.

Zato taj raspored ostavlja dokaze. Izdavatelj na predstavljenom lancu pripada organizaciji, a ne javnom CA-u, i klijent to može vidjeti bez posebnih alata. Lanac koji završava unutarnjim korijenom potpis je presretanja, a ne kvar.

Zašto VPN kanal nije HTTPS sesija

Podatkovni kanal VPN-a ne daje pregledniku takvo uporište. IKEv2 i WireGuard vode vlastita rukovanja i rasporede ključeva, bez TLS-a koji bi se završio, dok OpenVPN posuđuje TLS za svoj kontrolni kanal u izmijenjenu obliku prije nego podatke zaštiti na svoj način. Proxy izgrađen za HTTPS ne prepoznaje tu sesiju kao nešto što može raščlaniti.

Uređaj koji ne može raščlaniti sesiju ipak je može odbaciti. Zato blokiranje VPN-a obično izgleda kao istek vremena, a ne kao upozorenje o certifikatu, i zato iznimka ništa ne mijenja.

Provjera s vlastitog računala

Počnite s lancem koji stranica predstavlja. Podaci o stranici u pregledniku pokazuju izdavatelja, a naredbeni redak izvješćuje isto bez sažetka:

openssl s_client -connect example.com:443 -servername example.com

Zatim brojačima odvojite odbijeno rukovanje od filtriranog unutarnjeg prometa. Zabilježite transportni port prije svakog pravila za odbacivanje i pročitajte ih nakon pokušaja:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Nema zapisa u dnevniku na vanjskoj utičnici znači da rukovanje nikada nije otišlo, pa put odbija tunel. Dovršeno rukovanje uz neuspjeh samo nekih odredišta znači da tunel radi, a unutarnja politika ne. Nijedan rezultat nije zahtijevao čitanje bajta tereta.

Čitanje koje se doista događa nalazi se na rubovima: razdvojeni tunel predaje unutarnji HTTPS korporativnom proxyju, a koncentrator u vlasništvu poslodavca izlaže sve na izlazu. Što god pronašli, ne isključujte provjeru certifikata da biste silom ostvarili vezu, jer ta provjera jedino je što dijeli inspekciju od napadača.