Жергілікті желі VPN арқылы әлі де нені көреді

Біреу VPN трафигін жасыра ма деп сұраған сайын үш бақылаушы бір сұраққа бірігеді: ол қосылған желі, оның қолындағы машина және тоннель операторы. Әрқайсысы әртүрлі нәрсе біледі, ал тоннель сол көзқарастардың әрқайсысын түрліше өзгертеді. Кері бағытта жұмыс істеп, айтылып отырған тұжырымнан бастау пайдалы, өйткені тұжырым тексеруге төтеп беруі керек нәрсе. Өзіңізге қай тұжырым керегін шешіп, содан кейін құралдарды сонымен салыстырыңыз.

Бірінші тұжырым: ешкім трафикті оқи алмайды

Ең тар тұжырымнан бастаңыз: пайдалы жүктеме оқылмайтын күйінде қалады. Жолдағы пассивті бақылаушы TLS сеансының ішін көре алмайды, сондықтан тоннель HTTPS қолданып жатқан сайтқа аз нәрсе қосады және екі шеткі нүктеге қарсы ештеңе қоспайды. Бұл тұжырымды құрылғыны басқаратын адам бұзады, өйткені тексеру проксиі қосылымды тоқтатып, оны машина әлдеқашан сенетін түбірмен қайта қол қояды. Сондықтан сертификат тізбегінде түбірді орнатқан ұйымның аты тұрса да құлып әлі көрінеді.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

macOS-та бұл құбыр машинаның кілттер жинағындағы әр сертификат үшін бір субъект жолын басып шығарады, терезе ашпай, ал Windows-та certutil -store Root certlm.msc графикалық түрде көрсететін сол қойманы тізімдейді. Мектепке, жұмыс берушіге немесе желілік қауіпсіздік өніміне тиесілі түбір — іздеуге тұрарлық жазба. Біреуін табу тек ұстап қалу мүмкін екенін дәлелдейді, оның болып жатқанын емес.

Бұл туралы не істей алатыныңыз техникалық емес, саясат мәселесі. Өзіңізге тиесілі емес жабдықтан профильді немесе тексеру түбірін жою әдетте қолайлы пайдалану келісімін бұзады, ал басқару жүйесі мұны байқап, қайта қолдануға бейім, сондықтан құрылғы иесі сіздің трафигіңізді оқымауы керек деген талап басқа параметрді емес, басқа құрылғыны қажет етеді.

Екінші тұжырым: ешкім қайда баратыныңызды көрмейді

Межеленген жер қиынырақ тұжырым, өйткені парақ жүктелмей тұрып екі ашуды орын алады. Сұраныс жүйе пайдалануға конфигурацияланған шешушіге кетеді, ал жауап оны тасымалдайтын желіге көрінеді. Содан кейін TLS қол алысуы сұралған сервер атын ашық түрде тасымалдайды, егер Encrypted Client Hello екі шетінде қолдау таппаса. Екі ашудың ешқайсысы шифрды шешуді қамтымайды, сондықтан тоннельдің олардың біреуіне де әсері жоқ.

resolvectl status | grep -A2 "Link"
nslookup example.com

Қай шешуші шын мәнінде қолданылып жатқаны әшкерелік дәрежесін анықтайды және оны дауласуға емес, өлшеуге болады. Linux-та resolvectl status әр қосылым үшін DNS серверлерін басып шығарады, ал оның шығысы сайт шешушісі жауап беріп жатқанын немесе таңылғанын айтады. Windows сол сұраққа nslookup example.com арқылы жауап береді, оның шығысының бірінші блогы жауап берген DNS сервері.

Ноутбук тоннель көтерілмей тұрып сайт шешушісінен сұраса, немесе профиль ауыстырушы серверсіз келіп ескісі қолданыста қалса, әкімші ештеңе шифрын шешпей-ақ хост атауларын жинай береді. Браузердегі шифрланған DNS не таңылған шешушіні айналып өтеді, не толығымен бұғатталып, жабық күйде сәтсіз аяқталады. Шығу операторы өз жағынан сол атауларды көреді. Сондықтан шешушіні ауыстыру бұл ашуды тоннель жеткізушісінен алыстатпайды.

Үшінші тұжырым: ешкім сіздің қосылғаныңызды білмейді

Үшінші тұжырым — тоннель қолдай алмайтын тұжырым, өйткені пакеттер әлі де жергілікті желіден өтеді. Ол желі шеткі нүктенің мекенжайын, шамамен көлемін, уақытын және бір ұзақ өмір сүретін шифрланған сеанстың бар екенін біледі, бұл бұғаттауға, шектеуге немесе жай байқауға жетеді. Пакетті оқи алмайтын брандмауэр оны өткізуден бас тарта алады. Бақылану — ешкім бақыламауымен бірдей емес: сіз бақылаушыны жылжыттыңыз, оны жойған жоқсыз.

Бөлінген тоннельдеу және таңылған маршрутты елемейтін кез келген қолданба тоннельден тыс, бұрынғыдай көрінетін ағындар жасайды. Дәл осы ағындарды мұқият бақылаушы бірінші байқайды, ал клиенттің маршрут кестесі қай межелердің алынып тасталғанын көрсетеді.

Арғы жақтағы оператор сол көріністің айна бейнесін ұстайды: шығу мекенжайы, уақыт, көлем және әдетте сайт атаулары. Сіздің жеткізушіңіз көзқарас нүктесі бар тарапқа айналады, бұл көрінбеумен салыстырғанда басқа мәміле. Сенетін жеткізушіні таңдау — нақты шешім; нәтижені бақыланбаған деп атау олай емес.

Өзіңізге қай тұжырым керегін шешіңіз

Клиентке қол тигізбес бұрын талапты бір жолға жазыңыз: мазмұнды жасырыңыз, межелерді жасырыңыз немесе тіпті қосылғаныңызды жасырыңыз. Мазмұнды HTTPS пен тоннель әлдеқашан реттейді, ал межелер үшін сайт жабдығын толығымен айналып өтетін шешуші мен жол қажет.

Үшінші талап ыңғайсыз, өйткені бір жерде әлі де көрінетіндей қосылған нәрсе бар, шифрланған болсын, болмасын. Ешбір клиент параметрі мұны өзгертпейді. Егер талап пен саясат алшақтаса, бұл алшақтық саясат иесімен сөйлесуге жатады, клиент опциясына емес. Оған жауап бере алатын адам — саясатты жазған адам.