Hvað staðarnetið sér enn í gegnum VPN-ið þitt

Þrír áhorfendur renna saman í eina spurningu hvenær sem einhver spyr hvort VPN feli umferðina hans: netið sem hann er tengdur við, vélin í höndum hans og rekstraraðili ganganna. Hver lærir eitthvað annað, og göngin breyta hverju þessara sjónarhorna á annan hátt. Það hjálpar að vinna í hina áttina og byrja á fullyrðingunni sem sett er fram, því fullyrðingin er það sem verður að standast skoðun. Ákveddu hvaða fullyrðingu þú þarft, og berðu síðan verkfæri saman við hana.

Fyrsta fullyrðing: enginn getur lesið umferðina

Byrjaðu á þrengstu fullyrðingunni: farmurinn verður ólæsilegur. Óvirkur áhorfandi á leiðinni getur ekki séð inn í TLS-tengingu, svo göngin bæta litlu við vef sem notar þegar HTTPS og bæta engu við tvo endapunkta. Sá sem brýtur þessa fullyrðingu er sá sem stjórnar tækinu, því skoðunarskyldur milliþjónn lýkur tengingunni og undirritar hana aftur með rót sem vélin treystir þegar. Þess vegna birtist hengilásinn enn þótt vottorðakeðjan beri nafn samtakanna sem settu rótina upp.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

Á macOS prentar þessi pípa eina viðfangslínu fyrir hvert vottorð í lyklakippu vélarinnar án þess að opna glugga, og á Windows telur certutil -store Root upp sama geymslu og certlm.msc sýnir myndrænt. Rót sem tilheyrir skóla, vinnuveitanda eða netöryggisvöru er færslan sem á að leita að. Að finna eina sannar aðeins að hlerun sé möguleg, ekki að hún eigi sér stað.

Það sem þú mátt gera í málinu er stefnumál en ekki tæknimál. Að fjarlægja snið eða skoðunarrót úr vélbúnaði sem þú átt ekki brýtur venjulega samninginn um ásættanlega notkun, og stjórnkerfið tekur yfirleitt eftir því og beitir honum aftur, svo krafan um að eigandi tækisins lesi ekki umferðina þína þarf annað tæki en ekki aðra stillingu.

Önnur fullyrðing: enginn sér hvert þú ferð

Áfangastaðurinn er erfiðari fullyrðingin, því tvær upplýsingagjafir eiga sér stað áður en síða hleðst. Fyrirspurn fer til þess leysis sem kerfið er stillt til að nota, og svarið er sýnilegt netinu sem flytur það. Síðan flytur TLS-handaband hið umbeðna netþjónsnafn ódulið nema Encrypted Client Hello sé stutt í báðum endum. Önnur hvor upplýsingagjöfin felur í sér afkóðun, svo göngin hafa engin áhrif á þær.

resolvectl status | grep -A2 "Link"
nslookup example.com

Hvaða leysir er í raun notaður ræður váhrifunum, og hægt er að mæla það í stað þess að deila um það. Á Linux prentar resolvectl status DNS-þjónana fyrir hverja tengingu, og úttak þess segir þér hvort leysir vefsins eða sá þvingaði svari. Windows svarar sömu spurningu með nslookup example.com, en fyrsti úttaksblokkur þess er DNS-þjónninn sem svaraði.

Þegar fartölvan spyr leysi vefsins áður en göngin rísa, eða sniðið kemur án varabjóns svo sá gamli helst í notkun, safnar stjórnandinn enn vefþjónsnöfnum án þess að afkóða nokkuð. Dulkóðað DNS í vafranum annaðhvort sneiðir framhjá þvingaða leysinum eða er stöðvað algjörlega og bregst lokuð. Útgöngurekstraraðilinn sér sömu nöfnin frá sínum bæjardyrum. Að skipta um leysi færir þessa upplýsingagjöf því ekki frá gönguveitandanum.

Þriðja fullyrðing: enginn veit að þú tengdist

Þriðja fullyrðingin er sú sem göng geta ekki stutt, því pakningarnar fara enn yfir staðarnetið. Það net lærir endapunktsheitið, áætlað magn, tímasetningu og tilvist einnar langlífrar dulkóðaðrar lotu, sem nægir til að loka, takmarka eða einfaldlega taka eftir. Eldveggur sem getur ekki lesið pakka getur samt neitað að hleypa honum í gegn. Að vera fylgst með er ekki það sama og að enginn fylgist með: þú færðir áhorfandann, þú eyddir honum ekki.

Skipt göng og hvert forrit sem hunsar þvinguðu leiðina mynda strauma utan ganganna sem líta nákvæmlega út eins og áður. Það eru straumarnir sem vandvirkur áhorfandi tekur eftir fyrst, og leiðartöfluna hjá biðlarans sýnir hvaða áfangastaðir eru undanskildir.

Rekstraraðilinn hinum megin heldur spegilmynd þessarar sýnar: útgangsheiti, tímasetning, magn og yfirleitt nöfn vefjanna. Veitandinn þinn verður aðilinn sem hefur útsýnið, og það er annar samningur en ósýnileiki. Að velja veitanda sem þú treystir er raunveruleg ákvörðun; að kalla niðurstöðuna ófylgda er það ekki.

Ákveddu hvaða fullyrðingu þú þarft

Skrifaðu kröfuna á eina línu áður en þú snertir biðlara: fela innihaldið, fela áfangastaðina eða fela hvort þú tengdist yfirleitt. Innihaldið er þegar séð um af HTTPS ásamt göngunum, en áfangastaðir krefjast leysis og leiðar sem fara algjörlega framhjá búnaði vefsins.

Þriðja krafan er hin óþægilega, því eitthvað er enn sýnilega tengt einhvers staðar, dulkóðað eða ekki. Engin biðlarastilling breytir því. Ef krafan og stefnan dragast í sundur á sú gjá heima í samtali við þann sem á stefnuna, ekki í valkosti í biðlaranum. Sá sem getur svarað því er sá sem skrifaði stefnuna.