Ինչ է տեղական ցանցը դեռ տեսնում ձեր VPN-ի միջով

Երեք դիտորդ միաձուլվում են մեկ հարցի մեջ ամեն անգամ, երբ ինչ-որ մեկը հարցնում է՝ արդյոք VPN-ը թաքցնում է իր երթևեկությունը՝ ցանցը, որին նա միացած է, նրա ձեռքերում գտնվող մեքենան և թունելի օպերատորը։ Յուրաքանչյուրը սովորում է ինչ-որ տարբեր բան, և թունելը փոխում է այդ տեսակետներից յուրաքանչյուրը տարբեր ձևով։ Օգտակար է աշխատել հակառակ ուղղությամբ և սկսել այն պնդումից, որը ներկայացվում է, որովհետև պնդումն այն բանն է, որը պետք է դիմանա ստուգմանը։ Որոշեք, թե որ պնդման կարիքն ունեք, ապա դրա հետ համեմատեք գործիքները։

Առաջին պնդում՝ ոչ ոք չի կարող կարդալ երթևեկությունը

Սկսեք ամեն նեղ պնդումից՝ օգտակար բեռը մնում է անընթեռնելի։ Ուղու վրա գտնվող պասիվ դիտորդը չի կարող տեսնել TLS սեանսի ներսը, ուստի թունելը քիչ բան է ավելացնում արդեն HTTPS օգտագործող կայքին և ոչինչ չի ավելացնում երկու ծայրակետերի դեմ։ Այս պնդումը կոտրում է նա՝ ով վերահսկում է սարքը, քանի որ ստուգման պրոքսին ավարտում է կապը և նորից ստորագրում այն արմատով, որին մեքենան արդեն վստահում է։ Դրա համար կողպեքը դեռ երևում է, մինչ վկայագրերի շղթան կրում է այն կազմակերպության անունը, որը տեղադրել է արմատը։

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

macOS-ում այդ խողովակը տպում է մեկ սուբյեկտի տող մեքենայի բանալեշղթայի յուրաքանչյուր վկայագրի համար՝ առանց պատուհան բացելու, իսկ Windows-ում certutil -store Root թողարկում է նույն պահոցի ցանկը, որը certlm.msc ցույց է տալիս գրաֆիկորեն։ Դպրոցին, գործատուին կամ ցանցային անվտանգության արտադրանքին պատկանող արմատը այն գրառումն է, որը պետք է փնտրել։ Մեկը գտնելը միայն ապացուցում է, որ միջամտությունը հնարավոր է, ոչ թե որ այն տեղի է ունենում։

Ինչ կարող եք անել այդ կապակցությամբ, տեխնիկական չէ, այլ քաղաքականության հարց է։ Ձեզ չպատկանող սարքավորումից պրոֆիլի կամ ստուգման արմատի հեռացումը սովորաբար խախտում է ընդունելի օգտագործման պայմանագիրը, և կառավարման համակարգը հակված է նկատել դա և նորից կիրառել, ուստի այն պահանջը, որ սարքի սեփականատերը չկարդա ձեր երթևեկությունը, պահանջում է այլ սարք, ոչ թե այլ կարգավորում։

Երկրորդ պնդում՝ ոչ ոք չի տեսնում, թե ուր եք գնում

Նպատակակետն ավելի դժվար պնդում է, որովհետև էջի բեռնումից առաջ երկու բացահայտում է տեղի ունենում։ Հարցումը գնում է այն լուծիչին, որն օգտագործելու համար համակարգը կարգավորված է, և պատասխանը տեսանելի է այն ցանցին, որը տեղափոխում է այն։ Այնուհետև TLS ձեռքսեղմումը բացահայտ տեղափոխում է պահանջված սերվերի անունը, եթե Encrypted Client Hello-ն աջակցված չէ երկու ծայրերում։ Բացահայտումներից ոչ մեկը չի ներառում ապակոդավորում, ուստի թունելը ոչ մեկի վրա ազդեցություն չունի։

resolvectl status | grep -A2 "Link"
nslookup example.com

Թե որ լուծիչն է իրականում օգտագործվում, դա է որոշում բացահայտվածությունը, և դա կարելի է չափել՝ փոխանակ վիճելու։ Linux-ում resolvectl status տպում է DNS սերվերները յուրաքանչյուր կապի համար, և դրա ելքը ձեզ ասում է՝ պատասխանում է կայքի լուծիչը, թե պարտադրվածը։ Windows-ը նույն հարցին պատասխանում է nslookup example.com-ով, որի ելքի առաջին բլոկը պատասխանող DNS սերվերն է։

Երբ նոթբուքը հարցնում է կայքի լուծիչին նախքան թունելի բարձրանալը, կամ պրոֆիլը գալիս է առանց փոխարինող սերվերի, այնպես որ հինը մնում է օգտագործման մեջ, ադմինիստրատորը դեռ հավաքում է հոսթանուններ՝ ոչինչ չապակոդավորելով։ Բրաուզերում գաղտնագրված DNS-ը կա՛մ շրջանցում է պարտադրված լուծիչը, կա՛մ ամբողջությամբ արգելափակվում է և ձախողվում փակ վիճակում։ Ելքի օպերատորը տեսնում է նույն անունները իր կողմից։ Ուստի լուծիչը փոխելը այդ բացահայտումը չի հեռացնում թունելի մատակարարից։

Երրորդ պնդում՝ ոչ ոք չգիտի, որ դուք միացել եք

Երրորդ պնդումն այն է, որը թունելը չի կարող պաշտպանել, որովհետև փաթեթները դեռ անցնում են տեղական ցանցով։ Այդ ցանցը իմանում է ծայրակետի հասցեն, մոտավոր ծավալը, ժամանակը և մեկ երկարատև գաղտնագրված սեանսի գոյությունը, ինչը բավական է արգելափակելու, սահմանափակելու կամ պարզապես նկատելու համար։ Հրդեհապատը, որը չի կարող կարդալ փաթեթը, այնուամենայնիվ կարող է հրաժարվել այն անցկացնելուց։ Դիտարկված լինելը նույնը չէ, ինչ ոչ ոքի կողմից չդիտարկվելը՝ դուք տեղափոխեցիք դիտորդին, չջնջեցիք այն։

Բաժանված թունելավորումը և ցանկացած հավելված, որը անտեսում է պարտադրված երթուղին, ստեղծում են հոսքեր թունելից դուրս, որոնք տեսքով ճիշտ նույնն են, ինչ նախկինում։ Հենց այդ հոսքերն է առաջինը նկատում ուշադիր դիտորդը, և հաճախորդի երթուղիների աղյուսակը ցույց է տալիս, թե որ նպատակակետերն են բացառված։

Մյուս ծայրի օպերատորը պահում է այդ տեսարանի հայելային պատկերը՝ ելքի հասցե, ժամանակ, ծավալ և սովորաբար կայքերի անունները։ Ձեր մատակարարը դառնում է դիտակետ ունեցող կողմը, ինչը այլ գործարք է, քան անտեսանելիությունը։ Ձեր վստահած մատակարարին ընտրելը իրական որոշում է, իսկ արդյունքը չդիտարկված անվանելը՝ ոչ։

Որոշեք, թե որ պնդման կարիքն ունեք

Պահանջը գրեք մեկ տողով, նախքան հաճախորդին դիպչելը՝ թաքցրեք բովանդակությունը, թաքցրեք նպատակակետերը կամ թաքցրեք՝ արդյոք ընդհանրապես միացել եք։ Բովանդակությունը արդեն կարգավորվում է HTTPS-ով և թունելով, մինչդեռ նպատակակետերը պահանջում են լուծիչ և ուղի, որոնք ամբողջությամբ շրջանցում են կայքի սարքավորումը։

Երրորդ պահանջը անհարմարն է, որովհետև ինչ-որ բան դեռ տեսանելիորեն միացած է ինչ-որ տեղ՝ գաղտնագրված, թե ոչ։ Ոչ մի հաճախորդի կարգավորում դա չի փոխում։ Եթե պահանջն ու քաղաքականությունը հեռանան իրարից, այդ բացը պատկանում է քաղաքականության տիրոջ հետ զրույցին, ոչ թե հաճախորդի ընտրանքին։ Մարդը, ով կարող է պատասխանել, հենց նա է, ով գրել է քաղաքականությունը։