Il rilevamento VPN dipende da dove si guarda

Due rilevatori possono osservare lo stesso utente e discordare, entrambi correttamente. L’osservatore accanto al collegamento di accesso vede la conversazione esterna della VPN; il sito web vede la connessione applicativa che arriva dall’uscita. Sono connessioni diverse con impronte diverse, e la prova dell’una non si trasferisce all’altra. Nominare il punto di osservazione prima di discutere qualsiasi test TLS o TCP è ciò che rende significativa l’affermazione.

Un rilevatore senza un punto di osservazione dichiarato descrive un’opinione, non una misura.

Due punti di osservazione, due connessioni diverse

La conversazione esterna appartiene al protocollo del tunnel: i suoi formati di messaggio, la sua macchina a stati, la sua temporizzazione. La connessione interna è il browser che apre TLS verso il sito, trasportata dal tunnel e poi inoltrata dall’uscita. Entrambe esistono nello stesso momento e non sono lo stesso flusso. Una è ciò che può vedere una rete di accesso, l’altra è ciò che può vedere la destinazione, e un apparato intermedio che termina l’una o l’altra cambia entrambe le immagini.

Questa differenza spiega la maggior parte della confusione nelle discussioni sul rilevamento. Un test che riporta una cosa su un flusso spesso risponde a una domanda su uno strato diverso da quello che l’operatore aveva in mente.

Ciò che vede l’osservatore del percorso di accesso

Accanto al collegamento di accesso il materiale visibile è il protocollo del tunnel stesso: tipi di pacchetto di controllo e dati per OpenVPN, i pattern fissi di stretta di mano e dati di WireGuard, o qualsiasi involucro aggiunto dalla distribuzione. Se un classificatore possa identificarli dipende da ciò che è visibile, da quale trasporto li porta e dalla presenza di ulteriore offuscamento. Un pattern riconoscibile è una prova su un flusso, e non una prova sull’identità o l’intenzione della persona dietro di esso.

La porta 443 è una convenzione per raggiungere un servizio. Non rende HTTPS ogni trasporto di tunnel.

Ciò che il sito web vede davvero

Con un tunnel instradato, il browser esegue comunque la propria sessione TLS con il sito. La traduzione all’uscita non trasforma il gateway VPN nell’endpoint TLS del browser, quindi il ClientHello che il sito riceve descrive il browser o la sua libreria TLS. Un’impronta in stile JA3 caratterizza quindi la connessione applicativa, non il software VPN che la trasporta. Solo un proxy che termina deliberatamente cambia questa disposizione, e va identificato separatamente.

Le osservazioni TCP richiedono la stessa cura. L’inoltro, la traduzione e un proxy che apre una nuova connessione sono tre progetti diversi, e solo uno di essi riscrive lo stack di trasporto. Una singola caratteristica insolita non implica in modo univoco un tunnel.

Mantieni l’affermazione dentro le prove

Classificazione di rete, osservazione dei protocolli, impronte applicative e segnali dell’account sono input per una decisione di rischio, ciascuno con falsi positivi, falsi negativi e prove mancanti. Un indirizzo in un intervallo di hosting non dimostra nulla su una VPN commerciale, e un’impronta del browser comune non dimostra nulla su una diretta. Quando valuti un rilevatore, usa un set di dati autorizzato con percorsi noti e registra quale osservazione ha prodotto ogni risultato.

Mantieni la classificazione del protocollo separata da una decisione di accesso con conseguenze. Una risposta personalizzata o un trucco con pacchetti malformati non convalida l’inferenza che sta dietro; esercita solo pressione su una congettura.

Un rapporto utile nomina l’osservazione, il punto di osservazione e la fiducia. Una nuda riga «VPN rilevata» nasconde esattamente la parte che permetterebbe a qualcuno di verificarla.