Deteksi VPN bergantung pada dari mana Anda mengamati

Dua detektor dapat mengamati pengguna yang sama dan berbeda pendapat, keduanya benar. Pengamat di samping tautan akses melihat percakapan luar VPN; situs web melihat koneksi aplikasi yang datang dari pintu keluar. Itu koneksi berbeda dengan sidik jari berbeda, dan bukti dari yang satu tidak berpindah ke yang lain. Menyebut titik pengamatan sebelum membahas uji TLS atau TCP apa pun adalah yang membuat klaim bermakna.

Detektor tanpa titik pengamatan yang dinyatakan menggambarkan pendapat, bukan pengukuran.

Dua titik pengamatan, dua koneksi berbeda

Percakapan luar milik protokol terowongan: format pesannya sendiri, mesin keadaannya sendiri, waktunya sendiri. Koneksi dalam adalah browser membuka TLS ke situs web, dibawa melalui terowongan lalu diteruskan dari pintu keluar. Keduanya ada pada saat yang sama dan bukan aliran yang sama. Yang satu adalah apa yang dapat dilihat jaringan akses, yang lain apa yang dapat dilihat tujuan, dan kotak tengah yang mengakhiri salah satunya mengubah kedua gambaran.

Perbedaan itu menjelaskan sebagian besar kebingungan dalam diskusi deteksi. Uji yang melaporkan satu hal tentang aliran sering menjawab pertanyaan tentang lapisan berbeda dari yang dimaksud operator.

Apa yang dilihat pengamat jalur akses

Di samping tautan akses, materi yang terlihat adalah protokol terowongan itu sendiri: jenis paket kontrol dan data untuk OpenVPN, pola jabat tangan dan data berukuran tetap WireGuard, atau pembungkus apa pun yang ditambahkan penerapan. Apakah pengklasifikasi dapat mengidentifikasinya bergantung pada apa yang terlihat, transportasi mana yang membawanya dan apakah ada penyamaran tambahan. Pola yang dapat dikenali adalah bukti tentang aliran, dan bukan bukti tentang identitas atau niat orang di belakangnya.

Port 443 adalah konvensi untuk mencapai layanan. Itu tidak membuat setiap transportasi terowongan menjadi HTTPS.

Apa yang sebenarnya dilihat situs web

Dengan terowongan yang dirutekan, browser tetap menjalankan sesi TLS-nya sendiri dengan situs. Terjemahan di pintu keluar tidak mengubah gateway VPN menjadi titik akhir TLS browser, jadi ClientHello yang diterima situs menggambarkan browser atau pustaka TLS-nya. Sidik jari bergaya JA3 karena itu mencirikan koneksi aplikasi, bukan perangkat lunak VPN yang membawanya. Hanya proksi yang sengaja mengakhiri yang mengubah pengaturan itu, dan itu harus diidentifikasi secara terpisah.

Pengamatan TCP memerlukan kehati-hatian yang sama. Penerusan, terjemahan dan proksi yang memulai koneksi baru adalah tiga desain berbeda, dan hanya satu di antaranya menulis ulang tumpukan transportasi. Satu ciri tidak biasa tidak secara unik menyiratkan terowongan.

Jaga klaim di dalam bukti

Klasifikasi jaringan, pengamatan protokol, sidik jari aplikasi dan sinyal akun adalah masukan untuk keputusan risiko, masing-masing dengan positif palsu, negatif palsu dan bukti yang hilang. Alamat di rentang hosting tidak membuktikan apa pun tentang VPN komersial, dan sidik jari browser umum tidak membuktikan apa pun tentang VPN langsung. Saat mengevaluasi detektor, gunakan kumpulan data resmi dengan jalur yang diketahui dan catat pengamatan mana yang menghasilkan setiap hasil.

Jaga klasifikasi protokol terpisah dari keputusan akses yang berkonsekuensi. Respons khusus atau trik paket cacat tidak memvalidasi inferensi di belakangnya; itu hanya menekan dugaan.

Laporan yang berguna menyebutkan pengamatan, titik pengamatan dan keyakinan. Baris «VPN terdeteksi» telanjang menyembunyikan justru bagian yang memungkinkan seseorang memeriksanya.