Hvað fyrirtækiseldveggur getur og getur ekki séð inni í VPN

Sama fartölvan nær VPN-inu heiman frá og kemst ekki í samband frá skrifstofunni, svo einhver hlýtur að vera að lesa umferðina. Blokkun og lestur eru aðskilin völd, og aðeins hið síðara þarf stað á leiðinni auk skírteinis sem biðlarinn treystir. Millistykki sem hendir handabandinu þínu lærði ekkert um það sem þú hefðir sent. Að ákveða hvoru tveggja þú stendur frammi fyrir er allt verkið.

Blokkun og lestur eru mismunandi völd

Höfnun er ódýr og hávær: sambandið opnast og ekkert svarar, eða endurstilling kemur samstundis. Ekkert af þessu þýðir skoðun, því engin hleðsla fór yfir vírinn.

Lestur krefst endapunkts sem endar verndina, sannar sig með skírteini og hefur nýtt samband áfram. Sá punktur verður að vera á leiðinni og njóta trausts biðlarans. Eldveggur sem aðeins sendir pakka áfram hefur hvorki stöðu né skírteini.

Hvað umbúðirnar gefa frítt

Hver gangapakki hefur ytra borð, og ytra borðið verður að vera stýranlegt. Það þýðir tvö netföng, samskiptareglu, port og lengd, auk tímasetningar og rúmmáls. Sérhver beinir meðhöndlar þegar þessa reiti, og NAT endurskrifar netfangið og portið til að halda vörpunartöflunni sinni í samræmi. Hleðslan helst innsigluð, svo athugunin stöðvast við þá staðreynd að göng eru milli tveggja hýsla.

Hýsilnafn er ekki þar á meðal. Vefsíður leka í gegnum aðrar dyr, og breiðasta er DNS: ef fartölvan spyr enn staðbundna leysirinn birtast nöfnin í opnu.

Tímasetning og rúmmál eiga skilið virðingu án ýkju. Bæti á mínútu geta sýnt að stór flutningur hefst klukkan 14:20; þau geta ekki sýnt hvaða skrá færðist. Það er raunveruleg uppljóstrun um hegðun, og annar flokkur en að lesa efni.

TLS-afhlíðrun krefst rótar sem þú treystir þegar

Skoðunartæki brýtur ekki TLS; það endar það. Biðlaranum svarar skírteini frá rót sem fyrirtækið á, og annað samband fer á raunverulega áfangastaðinn. Biðlarinn samþykkir þetta því rótin er í traustageymslu hans, og þess vegna sýnir stýrð fartölva enga viðvörun. Dulkóðun var aldrei sigruð; endapunktinum var ýtt.

Þess vegna skilur fyrirkomulagið eftir sig sönnunargögn. Útgefandinn á framlögðu keðjunni tilheyrir fyrirtækinu en ekki opinberu CA, og biðlari getur séð það án sérstaks tóls. Keðja sem endar á innri rót er undirskrift afhlíðrunar, ekki bilun.

Hvers vegna VPN-rás er ekki HTTPS-lota

VPN-gagnarás gefur skoðandanum ekkert slíkt festi. IKEv2 og WireGuard keyra sín eigin handabönd og lykladagskrár, án TLS til að enda, á meðan OpenVPN fær TLS að láni fyrir stjórnrás sína í breyttri mynd áður en það verndar gögn á sinn hátt. Milliþjónn byggður fyrir HTTPS þekkir ekki þá lotu sem eitthvað sem hann getur þáttað.

Tæki sem getur ekki þáttað lotu getur samt hent henni. Þess vegna lítur VPN-blokkun venjulega út eins og tímanótt en ekki skírteinisviðvörun, og þess vegna breytir undantekning engu.

Athugaðu frá eigin vél

Byrjaðu á keðjunni sem vefsíðan leggur fram. Vefsíðuupplýsingar í vafranum sýna útgefandann, og skipanalínan greinir frá sama án samantektar:

openssl s_client -connect example.com:443 -servername example.com

Aðskildu síðan hafnað handaband frá síaðri innri umferð með teljurum. Skráðu flutningsportið á undan hverri sleppingarreglu og lestu þær eftir tilraunina:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Engin logs-lína á ytra sambandið þýðir að handabandið fór aldrei út, svo leiðin hafnar göngunum. Lokið handaband þar sem aðeins sumir áfangastaðir mistakast þýðir að göngin virka og stefnan inni ekki. Hvort tveggja krafðist þess að lesa eitt bæti af hleðslu.

Lesturinn sem raunverulega á sér stað er á jaðrinum: klofin göng skila innra HTTPS til fyrirtækis-milliþjóns, og þéttir í eigu vinnuveitanda afhjúpar allt við útganginn. Hvað sem þú finnur, ekki slökkva á skírteinisstaðfestingu til að þvinga samband, því sú athugun er eina hluturinn sem aðskilur skoðun frá árásarmanni.