Mit láthat és mit nem lát egy vállalati tűzfal egy VPN belsejében

Ugyanaz a laptop otthonról eléri a VPN-t, az irodából nem tud csatlakozni, tehát valaki olvassa a forgalmat. A blokkolás és az olvasás külön jogosítvány, és csak a másodiknak kell hely az útvonalon plusz egy tanúsítvány, amelyben a kliens megbízik. Az a köztes doboz, amely eldobja a kézfogást, semmit nem tanult arról, amit küldeni szándékozott. Eldönteni, melyikkel áll szemben, maga a teljes munka.

A blokkolás és az olvasás különböző jogosítványok

Az elutasítás olcsó és hangos: a socket megnyílik és semmi nem válaszol, vagy azonnal jön egy reset. Ebből semmi nem jelent vizsgálatot, mert egyetlen hasznos teher sem kelt át a vezetéken.

Az olvasáshoz olyan végpont kell, amely lezárja a védelmet, tanúsítvánnyal igazolja magát, és új kapcsolatot indít tovább. Ennek a pontnak az útvonalon kell állnia, és a kliensnek meg kell bíznia benne. Az a tűzfal, amely csak továbbítja a csomagokat, sem helyzettel, sem hitelesítő adattal nem rendelkezik.

Mit ad ingyen a burkolat

Minden alagútcsomagnak van külseje, és a külsejnek irányíthatónak kell lennie. Ez két címet, egy protokollt, egy portot és egy hosszt jelent, valamint időzítést és mennyiséget. Bármelyik router már kezeli ezeket a mezőket, és a NAT átírja a címet és a portot, hogy a leképezési táblája konzisztens maradjon. A hasznos teher lezárt marad, így a megfigyelés annál a ténykedésnél megáll, hogy két hoszt között alagút létezik.

Hosztnév nem tartozik közéjük. Az oldalak más ajtókon szivárognak, és a legszélesebb a DNS: ha a laptop még a helyi feloldót kérdezi, a nevek nyíltan megjelennek.

Az időzítés és a mennyiség tiszteletet érdemel, túlzás nélkül. Bájt percenként megmutathatják, hogy egy nagy átvitel 14:20-kor kezdődik; nem mutatják meg, melyik fájl mozdult el. Ez valódi felfedés a viselkedésről, és más kategória, mint a tartalom olvasása.

A TLS-elfogás olyan gyökeret igényel, amelyben már megbízik

A vizsgáló készülék nem töri fel a TLS-t; lezárja azt. A kliensnek a szervezet birtokában lévő gyökérből származó tanúsítvány válaszol, és egy második kapcsolat megy a valódi célhoz. A kliens ezt azért fogadja el, mert az a gyökér a saját bizalmi tárolójában van, ezért a kezelt laptop nem mutat figyelmeztetést. A kriptográfiát soha nem győzték le; a végpontot mozdították el.

Ezért hagy nyomokat ez az elrendezés. A bemutatott láncon szereplő kiadó a szervezeté, nem egy nyilvános CA-é, és a kliens ezt különleges eszközök nélkül látja. Egy belső gyökérben végződő lánc az elfogás aláírása, nem hiba.

Miért nem HTTPS-munkamenet egy VPN-csatorna

A VPN adatcsatornája nem ad ilyen kapaszkodót a vizsgálónak. Az IKEv2 és a WireGuard saját kézfogást és kulcsütemezést futtat, lezárható TLS nélkül, míg az OpenVPN módosított formában kölcsönzi a TLS-t a vezérlőcsatornájához, mielőtt a saját módján védené az adatokat. Az HTTPS-hez épített proxy nem ismeri fel azt a munkamenetet olyanként, amit elemezni tudna.

Az a készülék, amely nem tud elemezni egy munkamenetet, még mindig eldobhatja azt. Ezért néz ki a VPN-blokkolás általában időtúllépésnek, nem tanúsítványfigyelmeztetésnek, és ezért nem változtat semmin egy kivétel.

Ellenőrzés a saját gépéről

Kezdje azzal a lánccal, amelyet az oldal bemutat. A böngésző oldaladatai mutatják a kiadót, és a parancssor ugyanezt jelenti összefoglaló nélkül:

openssl s_client -connect example.com:443 -servername example.com

Ezután válassza el a visszautasított kézfogást a szűrt belső forgalomtól számlálókkal. Naplózza a szállítási portot bármely eldobási szabály előtt, és olvassa ki őket a kísérlet után:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Ha nincs naplósor a külső socketnél, a kézfogás soha nem ment ki, tehát az útvonal elutasítja az alagutat. A befejezett kézfogás, ahol csak néhány cél hibázik, azt jelenti, hogy az alagút működik, a belső szabályzat pedig nem. Egyik eredmény sem igényelte a hasznos teher egyetlen bájtjának olvasását.

Az olvasás, amely valóban megtörténik, a széleken ül: az osztott alagút belső HTTPS-t ad egy vállalati proxynak, a munkáltató tulajdonában lévő koncentrátor pedig a kilépésnél mindent feltár. Bármit is talál, ne kapcsolja ki a tanúsítvány-ellenőrzést a kapcsolat kikényszerítéséhez, mert ez az ellenőrzés az egyetlen, ami elválasztja a vizsgálatot a támadótól.