Apa yang masih dilihat jaringan lokal melalui VPN Anda

Tiga pengamat melebur menjadi satu pertanyaan setiap kali seseorang bertanya apakah VPN menyembunyikan lalu lintasnya: jaringan tempat ia terhubung, mesin di tangannya, dan operator terowongan. Masing-masing mempelajari hal berbeda, dan terowongan mengubah setiap pandangan itu dengan cara berbeda. Ada gunanya bekerja ke arah sebaliknya dan mulai dari klaim yang diajukan, karena klaim itulah yang harus bertahan dari pemeriksaan. Putuskan klaim mana yang Anda butuhkan, lalu bandingkan alat dengannya.

Klaim pertama: tidak ada yang bisa membaca lalu lintas

Mulailah dari klaim tersempit: muatan tetap tidak terbaca. Pengamat pasif di jalur tidak dapat melihat ke dalam sesi TLS, jadi terowongan menambah sedikit pada situs yang sudah memakai HTTPS dan tidak menambah apa pun terhadap kedua ujungnya. Pihak yang mematahkan klaim ini adalah siapa pun yang mengendalikan perangkat, karena proksi pemeriksaan mengakhiri koneksi dan menandatanganinya ulang dengan akar yang sudah dipercaya mesin. Itu sebabnya gembok masih muncul sementara rantai sertifikat membawa nama organisasi yang memasang akar tersebut.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

Di macOS saluran itu mencetak satu baris subjek untuk setiap sertifikat di gantungan kunci mesin, tanpa membuka jendela, dan di Windows certutil -store Root mendaftar penyimpanan yang sama dengan yang ditampilkan certlm.msc secara grafis. Akar milik sekolah, pemberi kerja, atau produk keamanan jaringan adalah entri yang perlu dicari. Menemukan satu hanya membuktikan bahwa penyadapan mungkin terjadi, bukan bahwa itu sedang berlangsung.

Apa yang boleh Anda lakukan soal itu adalah pertanyaan kebijakan, bukan teknis. Menghapus profil atau akar pemeriksaan dari perangkat keras yang bukan milik Anda biasanya melanggar perjanjian penggunaan yang dapat diterima, dan sistem manajemen cenderung menyadarinya lalu menerapkannya lagi, jadi persyaratan bahwa pemilik perangkat tidak boleh membaca lalu lintas Anda memerlukan perangkat lain, bukan pengaturan lain.

Klaim kedua: tidak ada yang bisa melihat ke mana Anda pergi

Tujuan adalah klaim yang lebih sulit, karena dua pengungkapan terjadi sebelum halaman dimuat. Kueri pergi ke resolver mana pun yang dikonfigurasi sistem, dan jawabannya terlihat oleh jaringan yang membawanya. Lalu jabat tangan TLS membawa nama server yang diminta secara terbuka, kecuali Encrypted Client Hello didukung di kedua ujung. Tak satu pun dari kedua pengungkapan itu melibatkan dekripsi, jadi terowongan tidak berpengaruh pada keduanya.

resolvectl status | grep -A2 "Link"
nslookup example.com

Resolver mana yang benar-benar dipakai menentukan paparannya, dan itu bisa diukur alih-alih diperdebatkan. Di Linux resolvectl status mencetak server DNS per tautan, dan keluarannya memberi tahu Anda apakah resolver situs atau yang didorong yang menjawab. Windows menjawab pertanyaan yang sama dengan nslookup example.com, yang blok keluaran pertamanya adalah server DNS yang menjawab.

Ketika laptop menanyakan resolver situs sebelum terowongan naik, atau profil tiba tanpa server pengganti sehingga yang lama tetap dipakai, administrator tetap mengumpulkan nama host tanpa mendekripsi apa pun. DNS terenkripsi di peramban entah menghindari resolver yang didorong atau diblokir sepenuhnya dan gagal tertutup. Operator keluar melihat nama yang sama dari sisinya. Jadi mengubah resolver tidak memindahkan pengungkapan itu dari penyedia terowongan.

Klaim ketiga: tidak ada yang tahu Anda terhubung

Klaim ketiga adalah yang tidak dapat didukung terowongan, karena paket tetap melintasi jaringan lokal. Jaringan itu mempelajari alamat titik akhir, perkiraan volume, waktu, dan keberadaan satu sesi terenkripsi berumur panjang, yang cukup untuk memblokir, membatasi, atau sekadar memperhatikan. Tembok api yang tidak dapat membaca paket tetap dapat menolak melewatkannya. Diawasi bukanlah hal yang sama dengan tidak diawasi siapa pun: Anda memindahkan pengamat, bukan menghapusnya.

Tunneling terpisah, dan aplikasi apa pun yang mengabaikan rute yang didorong, menghasilkan aliran di luar terowongan yang tampak persis seperti sebelumnya. Aliran itulah yang pertama diperhatikan pengamat yang cermat, dan tabel rute klien menunjukkan tujuan mana yang dikecualikan.

Operator di ujung lain memegang bayangan cermin dari pandangan itu: alamat keluar, waktu, volume, dan biasanya nama situs. Penyedia Anda menjadi pihak yang punya sudut pandang, dan itu tawar-menawar yang berbeda dari ketak terlihatan. Memilih penyedia yang Anda percaya adalah keputusan nyata; menyebut hasilnya tak teramati bukan.

Putuskan klaim mana yang Anda butuhkan

Tuliskan persyaratannya dalam satu baris sebelum menyentuh klien: sembunyikan isi, sembunyikan tujuan, atau sembunyikan apakah Anda terhubung sama sekali. Isi sudah ditangani HTTPS bersama terowongan, sedangkan tujuan memerlukan resolver dan jalur yang sepenuhnya melewati peralatan situs.

Persyaratan ketiga adalah yang canggung, karena sesuatu masih terlihat terhubung di suatu tempat, terenkripsi atau tidak. Tidak ada pengaturan klien yang mengubahnya. Jika persyaratan dan kebijakan saling menjauh, celah itu masuk dalam percakapan dengan pemilik kebijakan, bukan dalam opsi klien. Orang yang dapat menjawabnya adalah orang yang menulis kebijakan itu.