შეიძლება ქსელმა დაბლოკოს თქვენი VPN დაშიფვრის გატეხვის გარეშე?
დაშიფვრა იცავს შიგთავსს და არა მიწოდებას. შეადარეთ აკრძალვის სიები, ნებადართულის სიები და გამორთვები, შემდეგ ჰკითხეთ, რას შეუძლია ერთი დაკვირვების რეალურად დამტკიცება.
არც ერთ ოპერატორს არ სჭირდება სესიის გასაღები გვირაბის შესაჩერებლად: გადააგდეთ პაკეტები გზაზე და ის ვერ მუშაობს, კრიპტოგრაფია კი ზუსტად ისეთივე ძლიერი რჩება, როგორც მისი დიზაინი გვპირდებოდა. დაშიფვრა იცავს იმას, რასაც საუბარი ატარებს და არა რომელიმე ქსელის მზადყოფნას მისი ტარებისთვის. ამ ორი თვისების განცალკევება ბლოკირების შეუძლებლობის შესახებ კამათს აქცევს კითხვად იმის შესახებ, რომელი პოლიტიკა მოქმედებს და რამდენად შორს აღწევს იგი. ქვემოთ მოცემული შედარება ხელმისაწვდომობასა და კონფიდენციალურობას ცალკე ინახავს, რადგან VPN-ის ბლოკირების შესახებ თავდაჯერებული მტკიცებების უმეტესობა ჩუმად აერთიანებს მათ.
ხელმისაწვდომობა გზის გადაწყვეტილებაა
ყოველი ტრანსპორტი დამოკიდებულია გზაზე, რომელიც პაკეტებს გადასცემს და აქაური ყოველი პოლიტიკური კითხვა სწორედ ამ გადაცემის გადაწყვეტილებამდე მიდის. პაკეტების გადაგდების წესი ცვლის ხელმისაწვდომობას კონფიდენციალურობაზე ხელის შეუხებლად და სწორედ ასე შეიძლება გვირაბი იყოს უნაკლოდ დაშიფრული და ამავე მომენტში სრულიად გამოუსადეგარი. ამ შედეგის არც ერთი ნაწილი არ მოითხოვს შიფრის გატეხვას ან გასაღების აღდგენას. ის მხოლოდ გზაზე კონტროლს მოითხოვს.
დაბნეულობა ჩვეულებრივ იწყება მაშინ, როცა ორი თვისება ერთ სიტყვას იზიარებს. ძლიერი კრიპტოგრაფია ამბობს, ვის შეუძლია ნაკადის წაკითხვა; ის არაფერს ამბობს იმაზე, გაატარებს თუ არა მას შუალედური მოწყობილობა. ამიტომ მტკიცება, რომ VPN-ის დაბლოკვა შეუძლებელია, მოითხოვს მეორე მტკიცებას მის ქვეშ, კერძოდ, რომ გზაზე არავინაა მზად პაკეტების გადასაგდებად.
აღსრულების სტილები და თითოეულის ფასი
სამი სტილი ფარავს რეალური პოლიტიკების უმეტესობას და ისინი განსხვავდებიან იმით, რა უნდა იცოდნენ, რა ჯდება მათი მუშაობა და ვინ კიდევ იტანჯება. თითოეულ მათგანს შეუძლია უარი თქვას გვირაბზე რაიმეს გაშიფვრის გარეშე. განსხვავებები მნიშვნელოვანია, რადგან ერთი და იგივე სიტყვა, ბლოკირება, სამივესთვის გამოიყენება.
| Style | Default | What it must know | Who else is affected |
|---|---|---|---|
| Blocklist | Allow, minus listed destinations | Addresses and ports of known endpoints | Unrelated tenants on a listed address |
| Allowlist | Deny, plus approved destinations | A maintained definition of permitted traffic | Anything outside the approved set |
| Shutdown | Deny broadly for a period | Nothing about the protocol | Ordinary services along the same path |
ეს ცხრილი ხარჯების რუკაა და არა რეიტინგი. აკრძალვის სია იაფია დასაწყებად და ძვირია ზუსტად შესანარჩუნებლად; ნებადართულის სია აღმოჩენას ცვლის დაშვებული სიმრავლის მოვლაზე, გამორთვას კი საერთოდ არ სჭირდება კლასიფიკაცია. მათ შორის გამყოფი ტექნიკური დახვეწილობა არ არის, არამედ ის, სად ათავსებს თითოეული მუდმივ ძალისხმევას. ქაღალდზე მარტივად რომ გამოიყურებოდეს, პოლიტიკას ჩვეულებრივ სადღაც დამალული მოვლის სტრიქონი აქვს.
აკრძალვის სია შემოიფარგლება იმით, თუ რამდენად კარგად ასახელებს მისამართი სერვისს
აკრძალვის სია უარყოფს უკვე იდენტიფიცირებულ დანიშნულებებს და დანარჩენს ზოგადად ხელმისაწვდომს ტოვებს. მისი აღსრულებისთვის საჭიროა მისამართები და პორტები და არა ღია ტექსტი, და სწორედ ეს ხდის მას დასაწყისში იაფს. ხარჯი მოგვიანებით მოდის, რადგან დიაპაზონმა, რომელიც ერთ დროს ერთ მომწოდებელს აღნიშნავდა, შეიძლება შემდეგ ათეულობით შეუკავშირებელ მოიჯარეს უმასპინძლოს. ყოველი მისამართის ცვლილება აიძულებს სიის რედაქტირებას და ყოველი მოძველებული ჩანაწერი თან წაიღებს უდანაშაულო ტრაფიკს.
სიზუსტე ამ მოდელში შემოიფარგლება იმით, თუ რამდენად კარგად იდენტიფიცირებს დანიშნულება სერვისს, დატვირთული საერთო ბოლო წერტილი კი ცუდი იდენტიფიკატორია. ეს სტრუქტურული ზღვარია და არა განხორციელების ხარვეზი, ამიტომ უკეთესი ხელსაწყოები მას არ აცილებს. ეს ასევე ხსნის, რატომ იკიდებენ ხოლმე ფესვს აკრძალვის სიები: ყოველი ახალი ბოლო წერტილი მცირე დამატებად გამოიყურება, გვერდითი ზიანი კი სიასთან ერთად იზრდება.
ნებადართულის სია ტექნიკური მომსახურების ტვირთს გადააადგილებს
ნებადართულის სია აბრუნებს ნაგულისხმევს, რათა გაიაროს მხოლოდ წინასწარ შერჩეულმა დანიშნულებებმა ან ტრაფიკის ტიპებმა. მას არ სჭირდება ყოველი აკრძალული ბოლო წერტილის ჩამოთვლა, რაც ეხმარება მაშინ, როცა აკრძალული სიმრავლე დიდია ან სწრაფად იცვლება. სამაგიეროდ მას სჭირდება დაშვებულის მხარდაჭერილი განსაზღვრება, პლუს ამ განსაზღვრების შესაბამისი აღსრულება.
პორტის ნომრები ჩვეულებრივი სუსტი ადგილია ასეთ განსაზღვრებაში. პორტის დაშვება არ არის იგივე, რაც ყოველი აპლიკაციის იდენტიფიცირება, რომელსაც შეუძლია მისი გამოყენება, ამიტომ პორტებზე დაფუძნებული ნებადართულის სია ხშირად უფრო მეტს უშვებს, ვიდრე მისი ავტორი გულისხმობდა. პროტოკოლის ანაბეჭდებს იგივე პრობლემა აქვთ სხვა კუთხიდან, რადგან ისინი ტრაფიკის ფორმას იდენტიფიცირებენ და არა განზრახვას. ამიტომ ნებადართულის სია ავტომატურად არ არის უფრო ზუსტი, ვიდრე აკრძალვის სია; ის ზუსტია სხვა რამესთან მიმართებით.
რა შეუძლია და რა არ შეუძლია ერთ დაკვირვებას
ბლოკირების შესახებ ნებისმიერი მტკიცება უნდა იკითხებოდეს ოთხი კითხვით ხელში: რომელი წვდომის ქსელები, რომელი დანიშნულებები, რომელი პროტოკოლები და რომელი დაკვირვების პერიოდი. დღეს ერთ მობილურ ქსელში დანახული ჩავარდნა არაფერს ამბობს იმავე ბოლო წერტილზე ხვალ სხვა ქსელიდან. ერთხელ მომუშავე გვირაბი ასევე არაფერს ამბობს მდგრად ხელმისაწვდომობაზე.
ჩავარდნის ფორმა დაკვირვებადია მისი მიზეზის შესახებ თეორიამდე. ჩუმი გაჭედვა, მყისიერი უარი და დაკავშირების შემდეგ გადატვირთვა სხვადასხვა აღსრულების სტილზე მიუთითებს და ორი ბრძანება ჰყოფს მათ:
curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.comგაჭედვა, რომელიც დროის ამოწურვით მთავრდება, მიუთითებს ჩუმ გადაგდებაზე, სწრაფი უარი — გზაზე უარმყოფელ მოწყობილობაზე, ხოლო დაკავშირების შემდეგ გადატვირთვა — მდგომარეობიან ჩარევაზე და არა დაკარგულ მარშრუტზე. RFC 9505-ის ცენზურის ტექნიკების მიმოხილვა აღწერს ამ ფორმების მიღმა მდგომ საკონტროლო წერტილებსა და ჩარევის ნიმუშებს. თუმცა არც ერთი მათგანი არ ამბობს, რამდენად ფართოდ ვრცელდება პოლიტიკა. მუდმივობა უფრო ძლიერი მტკიცებაა, ვიდრე ხელმისაწვდომობა: ბოლო წერტილები, პროგრამული უზრუნველყოფა, პოლიტიკები და დაშვებული სერვისები ყველა იცვლება, ამიტომ განუსაზღვრელი ეფექტიანობა მოითხოვს ვარაუდებს აღსრულების გაგრძელებაზე და არა ერთ მომენტში დანახული მისამართების სიას.