რას ხედავს ადგილობრივი ქსელი ჯერ კიდევ თქვენი VPN-ის მეშვეობით
გვირაბი მალავს შიგთავსს და არა თქვენს ყოფნას. შეადარეთ, რას სწავლობენ წვდომის ქსელი, მართული მოწყობილობა და VPN ოპერატორი, სანამ ჩათვლით, რომ ერთი ყველაფერს ფარავს.
სამი დამკვირვებელი ერთ კითხვად იკრიბება ყოველ ჯერზე, როცა ვინმე კითხულობს, მალავს თუ არა VPN მის ტრაფიკს: ქსელი, რომელზეც ის დაკავშირებულია, მანქანა მის ხელში და გვირაბის ოპერატორი. თითოეული სხვადასხვა რამეს სწავლობს და გვირაბი თითოეულ ამ ხედს სხვადასხვა გზით ცვლის. სასარგებლოა საპირისპირო მიმართულებით მუშაობა და იმ მტკიცებიდან დაწყება, რომელიც გამოითქმის, რადგან მტკიცებაა ის, რაც უნდა გაუძლოს შემოწმებას. გადაწყვიტეთ, რომელი მტკიცება გჭირდებათ და შემდეგ შეადარეთ იარაღები მას.
პირველი მტკიცება: ვერავინ წაიკითხავს ტრაფიკს
დაიწყეთ ყველაზე ვიწრო მტკიცებით: დატვირთვა წაუკითხავი რჩება. გზაზე მყოფი პასიური დამკვირვებელი ვერ ხედავს TLS სესიის შიგნით, ამიტომ გვირაბი ცოტას უმატებს საიტს, რომელიც უკვე იყენებს HTTPS-ს და არაფერს უმატებს ორი ბოლო წერტილის წინააღმდეგ. ამ მტკიცებას ამტვრევს ის, ვინც მოწყობილობას აკონტროლებს, რადგან შემოწმების პროქსი ამთავრებს კავშირს და ხელახლა აწერს ხელს ფესვით, რომელსაც მანქანა უკვე ენდობა. ამიტომ ბოქლომი კვლავ ჩანს, სანამ სერთიფიკატების ჯაჭვი ატარებს იმ ორგანიზაციის სახელს, რომელმაც ფესვი დააყენა.
security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store RootmacOS-ზე ეს მილსადენი მანქანის გასაღებების კრებულში თითოეული სერთიფიკატისთვის ერთ საგნის სტრიქონს ბეჭდავს ფანჯრის გახსნის გარეშე, ხოლო Windows-ზე certutil -store Root აჩვენებს იმავე საცავს, რომელსაც certlm.msc გრაფიკულად აჩვენებს. სკოლის, დამსაქმებლის ან ქსელური უსაფრთხოების პროდუქტის კუთვნილი ფესვი არის ის ჩანაწერი, რომელიც უნდა მოძებნოთ. ერთის პოვნა მხოლოდ იმას ამტკიცებს, რომ ჩარევა შესაძლებელია და არა იმას, რომ ის ხდება.
რასაც ამის შესახებ შეგიძლიათ გააკეთოთ, პოლიტიკის და არა ტექნიკის საკითხია. პროფილის ან შემოწმების ფესვის წაშლა იმ ტექნიკიდან, რომელიც თქვენი არ არის, ჩვეულებრივ არღვევს მისაღები გამოყენების შეთანხმებას და მართვის სისტემა ჩვეულებრივ ამჩნევს და ხელახლა იყენებს მას, ამიტომ მოთხოვნას, რომ მოწყობილობის მფლობელმა არ წაიკითხოს თქვენი ტრაფიკი, სჭირდება სხვა მოწყობილობა და არა სხვა პარამეტრი.
მეორე მტკიცება: ვერავინ ხედავს, სად მიდიხართ
დანიშნულება უფრო რთული მტკიცებაა, რადგან გვერდის ჩატვირთვამდე ორი გამჟღავნება ხდება. მოთხოვნა მიდის იმ გადამწყვეტთან, რომლის გამოყენებაზეც სისტემაა კონფიგურირებული და პასუხი ჩანს იმ ქსელისთვის, რომელიც მას ატარებს. შემდეგ TLS ხელისჩამკეტი ღიად ატარებს მოთხოვნილი სერვერის სახელს, თუ Encrypted Client Hello ორივე ბოლოში მხარდაჭერილი არ არის. არც ერთი გამჟღავნება არ მოიცავს გაშიფვრას, ამიტომ გვირაბს არც ერთზე არ აქვს გავლენა.
resolvectl status | grep -A2 "Link"
nslookup example.comრომელი გადამწყვეტია რეალურად გამოყენებული, ეს წყვეტს ექსპოზიციას და ამის გაზომვა შეიძლება კამათის ნაცვლად. Linux-ზე resolvectl status ბეჭდავს DNS სერვერებს თითოეული კავშირისთვის და მისი გამონატანი გეუბნებათ, საიტის გადამწყვეტი პასუხობს თუ თავსმოხვეული. Windows იმავე კითხვას პასუხობს nslookup example.com-ით, რომლის გამონატანის პირველი ბლოკი პასუხის გამცემი DNS სერვერია.
როცა ლეპტოპი საიტის გადამწყვეტს ეკითხება გვირაბის აწევამდე, ან პროფილი ჩამოდის შემცვლელი სერვერის გარეშე და ძველი გამოყენებაში რჩება, ადმინისტრატორი მაინც აგროვებს ჰოსტების სახელებს არაფრის გაშიფვრის გარეშე. ბრაუზერში დაშიფრული DNS ან თავს არიდებს თავსმოხვეულ გადამწყვეტს, ან სრულად იბლოკება და დახურულად ვარდება. გასასვლელის ოპერატორი იგივე სახელებს ხედავს თავისი მხრიდან. ამიტომ გადამწყვეტის შეცვლა ამ გამჟღავნებას გვირაბის მომწოდებლისგან არ აშორებს.
მესამე მტკიცება: ვერავინ იცის, რომ დაკავშირდით
მესამე მტკიცება ის არის, რასაც გვირაბი ვერ დაუჭერს მხარს, რადგან პაკეტები კვლავ ადგილობრივ ქსელს კვეთს. ის ქსელი იგებს ბოლო წერტილის მისამართს, სავარაუდო მოცულობას, დროს და ერთი ხანგრძლივი დაშიფრული სესიის არსებობას, რაც საკმარისია დასაბლოკად, შესაზღუდად ან უბრალოდ შესამჩნევად. ბრანდმაუერი, რომელსაც პაკეტის წაკითხვა არ შეუძლია, მაინც შეიძლება უარი თქვას მის გატარებაზე. დაკვირვებული ყოფნა არ არის იგივე, რაც არავის მიერ დაკვირვებული ყოფნა: დამკვირვებელი გადაადგილეთ და არ წაშალეთ.
გაყოფილი გვირაბიზაცია და ნებისმიერი აპლიკაცია, რომელიც თავსმოხვეულ მარშრუტს უგულებელყოფს, ქმნიან დინებებს გვირაბის გარეთ, რომლებიც ზუსტად ისე გამოიყურება, როგორც ადრე. სწორედ ამ დინებებს ამჩნევს ყურადღებიანი დამკვირვებელი პირველად და კლიენტის მარშრუტების ცხრილი აჩვენებს, რომელი დანიშნულებებია გამორიცხული.
მეორე ბოლოს ოპერატორს ამ ხედის სარკული ასლი აქვს: გასასვლელის მისამართი, დრო, მოცულობა და ჩვეულებრივ საიტების სახელები. თქვენი მომწოდებელი ხდება მხარე, რომელსაც ხედვის წერტილი აქვს და ეს უხილავობისგან განსხვავებული გარიგებაა. სანდო მომწოდებლის არჩევა ნამდვილი გადაწყვეტილებაა; შედეგის დაუკვირვებლად წოდება არა.
გადაწყვიტეთ, რომელი მტკიცება გჭირდებათ
მოთხოვნა ერთ სტრიქონში ჩაწერეთ სანამ კლიენტს შეეხებით: დამალეთ შიგთავსი, დამალეთ დანიშნულებები ან დამალეთ, საერთოდ დაკავშირდით თუ არა. შიგთავსს უკვე HTTPS და გვირაბი ამუშავებს, ხოლო დანიშნულებებს სჭირდება გადამწყვეტი და გზა, რომლებიც საიტის აღჭურვილობას სრულად გვერდს უვლიან.
მესამე მოთხოვნა მოუხერხებელია, რადგან სადღაც რაღაც ჯერ კიდევ ხილულად დაკავშირებულია, დაშიფრული იქნება თუ არა. ვერც ერთი კლიენტის პარამეტრი ვერ შეცვლის ამას. თუ მოთხოვნა და პოლიტიკა ერთმანეთს დაშორდა, ეს უფსკრული პოლიტიკის მფლობელთან საუბარს ეკუთვნის და არა კლიენტის არჩევანს. ამაზე პასუხის გაცემა შეუძლია მას, ვინც პოლიტიკა დაწერა.