A VPN-felderítés attól függ, honnan figyelsz

Két detektor ugyanazt a felhasználót figyelheti és eltérhet, mindkettő helyesen. A hozzáférési kapcsolat melletti megfigyelő a VPN külső beszélgetését látja; a webhely a kilépés felől érkező alkalmazáskapcsolatot látja. Ezek különböző kapcsolatok különböző ujjlenyomatokkal, és az egyik bizonyítéka nem vihető át a másikra. A megfigyelési pont megnevezése bármely TLS- vagy TCP-teszt megvitatása előtt az, ami értelmessé teszi az állítást.

A meg nem nevezett megfigyelési pontú detektor véleményt ír le, nem mérést.

Két megfigyelési pont, két különböző kapcsolat

A külső beszélgetés a tunelprotokollé: saját üzenetformátumai, saját állapotgépe, saját időzítése. A belső kapcsolat a böngésző, amely TLS-t nyit a webhelyhez, a tunelen keresztül halad, majd a kilépésből továbbítódik. Mindkettő ugyanabban a pillanatban létezik, és nem ugyanaz a folyam. Az egyik az, amit egy hozzáférési hálózat láthat, a másik az, amit a cél láthat, és egy köztes eszköz, amely bármelyiket lezárja, mindkét képet megváltoztatja.

Ez a különbség magyarázza a felderítési viták zavarának nagy részét. Egy teszt, amely egy dolgot jelent egy folyamról, gyakran más rétegre vonatkozó kérdésre válaszol, mint amelyre az üzemeltető gondolt.

Mit lát a hozzáférési útvonal megfigyelője

A hozzáférési kapcsolat mellett a látható anyag maga a tunelprotokoll: vezérlő- és adatcsomagtípusok a OpenVPN számára, a WireGuard rögzített méretű kézfogás- és adatmintái, vagy bármilyen burkolat, amelyet a telepítés hozzáad. Hogy egy osztályozó felismerheti-e őket, attól függ, mi látható, melyik szállítás viszi őket és van-e további elhomályosítás. A felismerhető minta egy folyamra vonatkozó bizonyíték, és nem bizonyíték a mögötte álló személy kilétére vagy szándékára.

A 443-as port egy konvenció egy szolgáltatás eléréséhez. Nem tesz minden tunelszállítást HTTPS-sé.

Mit lát valójában a webhely

Irányított tunel esetén a böngésző továbbra is a saját TLS-munkamenetét folytatja a hellyel. A kilépésnél végzett fordítás nem teszi a VPN-átjárót a böngésző TLS-végpontjává, ezért a webhely által kapott ClientHello a böngészőt vagy annak TLS-könyvtárát írja le. A JA3-stílusú ujjlenyomat tehát az alkalmazáskapcsolatot jellemzi, nem a szállító VPN-szoftvert. Csak egy szándékosan lezáró proxy változtat ezen az elrendezésen, és azt külön kell azonosítani.

A TCP-megfigyelések ugyanazt a gondosságot igénylik. A továbbítás, a fordítás és egy új kapcsolatot indító proxy három különböző terv, és csak egyikük írja át a szállítási vermet. Egyetlen szokatlan jellemző nem utal egyértelműen tunelre.

Tartsd az állítást a bizonyítékokon belül

A hálózati osztályozás, a protokollmegfigyelés, az alkalmazásujjlenyomatok és a fiókjelek kockázati döntés bemenetei, mindegyik hamis pozitívokkal, hamis negatívokkal és hiányzó bizonyítékokkal. A tárhelytartományban lévő cím semmit sem bizonyít kereskedelmi VPN-ről, és egy közönséges böngésző-ujjlenyomat semmit sem bizonyít közvetlen VPN-ről. Amikor detektort értékelsz, használj ismert útvonalakkal rendelkező engedélyezett adathalmazt, és jegyezd fel, melyik megfigyelés melyik eredményt adta.

Tartsd a protokollosztályozást külön a következményes hozzáférési döntéstől. Egy egyedi válasz vagy egy hibás csomagos trükk nem igazolja a mögötte álló következtetést; csak nyomást gyakorol egy feltevésre.

Egy hasznos jelentés megnevezi a megfigyelést, a megfigyelési pontot és a bizonyosságot. A puszta „VPN észlelve” sor pontosan azt a részt rejti el, amely lehetővé tenné valakinek az ellenőrzést.