Blokkolhatja-e egy hálózat a VPN-t a titkosítás feltörése nélkül?

Egyetlen szolgáltatónak sem kell munkamenet-kulcs ahhoz, hogy megállítson egy alagutat: dobja el a csomagokat az útvonalon, és az alagút megszakad, miközben a kriptográfia pontosan olyan erős marad, amilyet a terve ígért. A titkosítás azt védi, amit egy beszélgetés szállít, nem pedig bármely hálózat hajlandóságát arra, hogy szállítsa. E két tulajdonság szétválasztása a blokkolhatatlanságról szóló vitát azzá a kérdéssé alakítja, hogy melyik szabály érvényes, és meddig terjed. Az alábbi összehasonlítás külön tartja az elérhetőséget és a bizalmasságot, mert a VPN-blokkolásról szóló magabiztos állítások többsége csendben összemossa őket.

Az elérhetőség a hálózati út döntése

Minden átvitel olyan útvonaltól függ, amely továbbítja a csomagokat, és minden itteni szabálykérdés erre a továbbítási döntésre redukálódik. A csomagokat eldobó szabály a bizalmasság érintése nélkül változtatja meg az elérhetőséget, és így lehet egy alagút hibátlanul titkosított és ugyanabban a pillanatban teljesen használhatatlan. Ennek az eredménynek egyetlen eleme sem igényel rejtjel törését vagy kulcs visszaszerzését. Csak az útvonal feletti ellenőrzést igényli.

A zavar általában ott kezdődik, hogy két tulajdonság egy szót oszt meg. Az erős kriptográfia arról szól, ki tud olvasni egy folyamot; semmit sem mond arról, hogy egy köztes eszköz átengedi-e. Ezért a VPN blokkolhatatlanságáról szóló állításnak kell alatta egy második állítás is, mégpedig hogy az útvonalon senki sem hajlandó eldobni a csomagokat.

Kényszerítési stílusok és mindegyik ára

Három stílus fedi a legtöbb valódi szabályt, és abban különböznek, mit kell tudniuk, mennyibe kerül a működtetésük, és ki más szenved. Mindegyikük képes visszautasítani egy alagutat anélkül, hogy bármit visszafejtene. A különbségek azért számítanak, mert ugyanazt a szót, a blokkolást, mindháromra használják.

Ez a táblázat költségtérkép, nem rangsor. A tiltólista olcsó elkezdeni és drága pontosan tartani; az engedélyezőlista a felfedezést cseréli az engedélyezett halmaz karbantartására, a lekapcsolás pedig egyáltalán nem igényel osztályozást. Nem a technikai kifinomultság választja el őket, hanem az, hová teszi mindegyik a folyamatos erőfeszítést. A papíron egyszerűnek látszó szabálynak általában máshol van egy rejtett karbantartási sora.

A tiltólista korlátja, hogy mennyire jól nevez meg egy cím egy szolgáltatást

A tiltólista azokat a célokat utasítja el, amelyeket már azonosítottak, a többit pedig általában elérhetően hagyja. Kényszerítéséhez címek és portok kellenek, nem nyílt szöveg, és ez teszi kezdetben olcsóvá a működtetését. A költség később érkezik, mert egy tartomány, amely egykor egy szolgáltatót azonosított, később egy tucat független bérlőnek adhat otthont. Minden címváltozás listamódosítást kényszerít ki, és minden elavult bejegyzés ártatlan forgalmat visz magával.

A pontosságot ebben a modellben az korlátozza, mennyire jól azonosít egy cél egy szolgáltatást, és egy forgalmas megosztott végpont rossz azonosító. Ez szerkezeti korlát, nem megvalósítási hiba, ezért a jobb eszközök nem szüntetik meg. Azt is megmagyarázza, miért hajlamosak nőni a tiltólisták: minden új végpont apró kiegészítésnek tűnik, és a járulékos kár a listával együtt nő.

Az engedélyezőlista áthelyezi a karbantartás terhét

Az engedélyezőlista megfordítja az alapértelmezést, így csak az előre kiválasztott célok vagy forgalomtípusok juthatnak át. Nem kell felsorolnia minden tiltott végpontot, ami akkor segít, ha a tiltott halmaz nagy vagy gyorsan változik. Helyette arra van szüksége, hogy karbantartott meghatározása legyen az engedélyezettnek, plusz olyan kényszerítés, amely megfelel ennek a meghatározásnak.

A portszámok a szokásos gyenge pont egy ilyen meghatározásban. Egy port engedélyezése nem ugyanaz, mint minden alkalmazás azonosítása, amely használhatja, ezért a port alapú engedélyezőlista gyakran többet enged át a szerző szándékánál. A protokoll-ujjlenyomatoknak ugyanez a problémája más szögből, mert a forgalom formáját azonosítják, nem a szándékot. Az engedélyezőlista tehát nem automatikusan pontosabb a tiltólistánál; valami másra nézve pontos.

Mit tud alátámasztani egyetlen megfigyelés, és mit nem

Minden blokkolási állítást négy kérdéssel a kézben érdemes olvasni: mely hozzáférési hálózatok, mely célok, mely protokollok és milyen megfigyelési időszak. Az egy mobilhálózaton ma látott hiba semmit sem mond ugyanarról a végpontról holnap egy másik hálózatból. Egy egyszer működött alagút sem mond semmit a tartós elérhetőségről.

Egy hiba alakja már az okáról való elmélkedés előtt megfigyelhető. A néma akadás, az azonnali elutasítás és a csatlakozás utáni alaphelyzetbe állítás különböző kényszerítési stílusokra utal, és két parancs választja szét őket:

curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.com

Az időtúllépéssel végződő akadás néma eldobásra utal, a gyors elutasítás az útvonalon elutasító eszközre, a csatlakozás utáni alaphelyzetbe állítás pedig állapottal járó beavatkozásra, nem hiányzó útvonalra. Az RFC 9505 cenzúratechnikákról szóló áttekintése leírja az ezek mögött az alakok mögött álló ellenőrzési pontokat és beavatkozási mintákat. Egyik sem mondja meg azonban, milyen széles körben érvényes a szabály. A tartósság erősebb állítás az elérhetőségnél: a végpontok, a szoftverek, a szabályok és az engedélyezett szolgáltatások mind változnak, ezért a határozatlan hatékonyság a kényszerítés folytatására vonatkozó feltevéseket igényel, nem az egy pillanatban látott címek listáját.