VPN-Erkennung hänkt dovun of, vu wou aus Dir kuckt

Zwee Detektoren kënnen deeselwechte Benotzer observéieren an disaccord sinn, béid richteg. En Observateur nieft dem Access-Link gesäit d'baussenst Konversatioun vum VPN; d'Websäit gesäit d'Applikatiounsverbindung déi vum Ausgang kënnt. Dat sinn ënnerschiddlech Verbindunge mat ënnerschiddlechen Fangerofdréck, an de Beweis vun der enger geet net op déi aner iwwer. Den Observatiounspunkt ze nennen, ier iergendeen TLS- oder TCP-Test diskutéiert gëtt, mécht d'Behaaptung bedeitungsvoll.

En Detektor ouni uginn Observatiounspunkt beschreift eng Meenung, net eng Miessung.

Zwee Observatiounspunkten, zwou ënnerschiddlech Verbindungen

D'baussenst Konversatioun gehéiert zum Tunnelprotokoll: seng eege Messageformater, seng eege Zoustandmaschinn, seng eege Timing. D'bannenzeg Verbindung ass de Browser, deen TLS op d'Websäit opmécht, duerch den Tunnel gedroe gëtt an dann vum Ausgang weidergeleet gëtt. Béid existéieren am selwechten Abléck an et si net deeselwechte Flux. Dat eng ass wat en Access-Netz ka gesinn, dat anert wat den Destinatioun ka gesinn, an eng Mëttelbox déi eng vun deenen zwou terminéiert ännert béid Biller.

Dësen Ënnerscheed erkläert de gréissten Deel vun der Konfusioun an den Diskussiounen iwwer Erkennung. En Test, deen eng Saach iwwer e Flux rapportert, äntwert dacks op eng Fro iwwer eng aner Schicht wéi déi den Operateur am Kapp hat.

Wat den Observateur um Access-Wee gesäit

Nieft dem Access-Link ass de siichtbaren Material de Tunnelprotokoll selwer: Kontroll- an Datenpaketstypen fir OpenVPN, d'fest Gréisst Handshake- an Datenmuster vum WireGuard, oder wat fir en Ëmschlag d'Deployement bäisetzt. Ob en Klassifikator se identifiziere kann, hänkt dovun of, wat siichtbar ass, wéi en Transport se dréit a wéi eng zousätzlech Verschleierung do ass. En erkennbart Muster ass Beweis iwwer e Flux, an net Beweis iwwer d'Identitéit oder d'Absicht vun der Persoun déi dohannert steet.

Port 443 ass eng Konventioun fir en Service z'erreechen. Et mécht net all Tunneltransport zu HTTPS.

Wat d'Websäit tatsächlech gesäit

Mat engem gerouteten Tunnel féiert de Browser nach ëmmer seng eege TLS-Sessioun mat der Säit. D'Iwwersetzung um Ausgang mécht de VPN-Gateway net zum TLS-Endpunkt vum Browser, dofir beschreift de ClientHello dee d'Säit kritt de Browser oder seng TLS-Bibliothéik. E Fangerofdrock am JA3-Stil charakteriséiert dofir d'Applikatiounsverbindung, net d'VPN-Software déi se dréit. Nëmmen e Proxy dee bewosst terminéiert ännert déi Anordnung, an en muss separat identifiéiert ginn.

TCP-Observatiounen brauchen déiselwecht Suergfalt. Weiderleeden, Iwwersetzen an e Proxy deen eng nei Verbindung opmécht sinn dräi ënnerschiddlech Designen, an nëmmen een dovun schreift de Transportstack ëm. Eng eenzeg ongewéinlech Charakteristik implizéiert net onisoliéiert en Tunnel.

Halt d'Behaaptung bannen de Beweiser

Netzkategoriséierung, Protokollobservatioun, Applikatiounsfangerofdréck an Kontsignaler sinn Inpute fir eng Risikoentscheedung, jiddereen mat falschen Positiven, falschen Negativen an feelenden Beweiser. Eng Adress an engem Hostingberäich beweise guer näischt iwwer eng kommerziell VPN, an en übleche Browser-Fangerofdrock beweist guer näischt iwwer eng direkt. Wann Dir en Detektor bewäert, benotzt en autoriséierten Dateset mat bekannte Weeër a notéiert wéi eng Observatioun all Resultat bruecht huet.

Halt d'Protokollkategoriséierung getrennt vun enger Access-Entscheedung mat Konsequenzen. Eng personaliséiert Äntwert oder en Trick mat deforméierte Paketen validéiert net d'Schlussfolgerung déi dohannert steet; en drot just Drock op eng Vermutung aus.

En nëtzlechen Rapport nennt d'Observatioun, den Observatiounspunkt an d'Zouversiicht. Eng plakeg Linn «VPN erkannt» verstoppt just dee Deel deen engem et géif erlaben et z'iwwerpréiwen.