VPN aptikimas priklauso nuo to, iš kur stebite
Tinklo stebėtojas mato tunelį; svetainė mato naršyklės TLS sesiją. Vieno stebėjimo taško įrodymai nepersikelia į kitą.
Du detektoriai gali stebėti tą patį naudotoją ir nesutarti, abu teisūs. Stebėtojas prie prieigos linijos mato išorinį VPN pokalbį; svetainė mato programos ryšį, ateinantį iš išėjimo. Tai skirtingi ryšiai su skirtingais pirštų atspaudais, ir vieno įrodymai nepersikelia į kitą. Stebėjimo taško įvardijimas prieš aptariant bet kokį TLS ar TCP testą yra tai, kas teiginį daro prasmingą.
Detektorius be nurodyto stebėjimo taško aprašo nuomonę, o ne matavimą.
Du stebėjimo taškai, du skirtingi ryšiai
Išorinis pokalbis priklauso tunelio protokolui: savi pranešimų formatai, sava būsenos mašina, savas laikas. Vidinis ryšys yra naršyklė, atidaranti TLS į svetainę, nešama per tunelį ir tada persiunčiama iš išėjimo. Abu egzistuoja tuo pačiu metu ir tai nėra tas pats srautas. Viena yra tai, ką gali matyti prieigos tinklas, kita – ką gali matyti paskirties vieta, o tarpinė dėžė, užbaigianti bet kurią iš jų, keičia abu vaizdus.
Šis skirtumas paaiškina didžiąją dalį painiavos aptikimo diskusijose. Testas, pranešantis vieną dalyką apie srautą, dažnai atsako į klausimą apie kitą sluoksnį, nei operatorius turėjo galvoje.
Ką mato prieigos kelio stebėtojas
Prie prieigos linijos matoma medžiaga yra pats tunelio protokolas: valdymo ir duomenų paketų tipai OpenVPN, fiksuoto dydžio WireGuard rankos paspaudimo ir duomenų šablonai arba bet kokia diegimo pridedama apgaubtis. Ar klasifikatorius gali juos atpažinti, priklauso nuo to, kas matoma, koks transportas juos neša ir ar yra papildomo užmaskavimo. Atpažįstamas šablonas yra įrodymas apie srautą, o ne įrodymas apie už jo esančio žmogaus tapatybę ar ketinimą.
443 prievadas yra susitarimas pasiekti paslaugą. Jis nepaverčia kiekvieno tunelinio transporto HTTPS.
Ką svetainė iš tikrųjų mato
Su maršrutizuotu tuneliu naršyklė vis tiek vykdo savo TLS sesiją su svetaine. Vertimas išėjime nepaverčia VPN šliuzo naršyklės TLS galiniu tašku, todėl ClientHello, kurį gauna svetainė, aprašo naršyklę arba jos TLS biblioteką. JA3 stiliaus pirštų atspaudas todėl apibūdina programos ryšį, o ne jį nešančią VPN programinę įrangą. Tik sąmoningai užbaigiantis tarpinis serveris keičia tą išdėstymą, ir jis turi būti identifikuotas atskirai.
TCP stebėjimai reikalauja tokio pat dėmesio. Persiuntimas, vertimas ir naują ryšį pradedantis tarpinis serveris yra trys skirtingi sprendimai, ir tik vienas jų perrašo transporto kamštį. Viena neįprasta savybė vienareikšmiškai nereiškia tunelio.
Laikykite teiginį įrodymų ribose
Tinklo klasifikacija, protokolo stebėjimas, programų pirštų atspaudai ir paskyros signalai yra rizikos sprendimo įvestys, kiekviena su klaidingais teigiamais, klaidingais neigiamais ir trūkstamais įrodymais. Adresas prieglobos diapazone nieko neįrodo apie komercinį VPN, o įprastas naršyklės pirštų atspaudas nieko neįrodo apie tiesioginį. Vertindami detektorių, naudokite leistiną duomenų rinkinį su žinomais keliais ir užrašykite, kuris stebėjimas davė kiekvieną rezultatą.
Laikykite protokolo klasifikaciją atskirai nuo pasekmių turinčio prieigos sprendimo. Pasirinktinis atsakymas ar sugadinto paketo triukas nepatvirtina už jo esančios išvados; jis tik daro spaudimą spėjimui.
Naudinga ataskaita įvardija stebėjimą, stebėjimo tašką ir pasitikėjimą. Plika eilutė „VPN aptiktas“ paslepia būtent tą dalį, kuri leistų kam nors tai patikrinti.