Ką įmonės ugniasienė gali ir ko negali matyti VPN viduje

Tas pats nešiojamasis kompiuteris pasiekia VPN iš namų ir negali prisijungti iš biuro, tad kažkas turi skaityti srautą. Blokavimas ir skaitymas yra atskiros galios, ir tik antrajai reikia vietos kelyje bei sertifikato, kuriuo klientas pasitiki. Tarpinis įrenginys, numetantis jūsų rankos paspaudimą, nieko nesužinojo apie tai, ką būtumėte siuntę. Nuspręsti, su kuriuo iš dviejų susiduriate, ir yra visas darbas.

Blokavimas ir skaitymas yra skirtingos galios

Atsisakymas pigus ir garsus: lizdas atsidaro ir niekas neatsako, arba iškart ateina atstatymas. Niekas iš to nereiškia inspekcijos, nes joks naudingasis krovinys nekirto laido.

Skaitymui reikia galinio taško, kuris užbaigia apsaugą, pasitvirtina sertifikatu ir pradeda naują ryšį toliau. Tas taškas turi būti kelyje ir kliento pasitikėti. Ugniasienė, kuri tik persiunčia paketus, neturi nei pozicijos, nei įgaliojimo.

Ką apvalkalas atiduoda nemokamai

Kiekvienas tunelio paketas turi išorę, ir išorė turi būti maršrutizuojama. Tai reiškia du adresus, protokolą, prievadą ir ilgį, be to, laiką ir apimtį. Bet kuris maršrutizatorius jau tvarko tuos laukus, o NAT perrašo adresą ir prievadą, kad jo atvaizdavimo lentelė išliktų nuosekli. Krovinys lieka užplombuotas, todėl stebėjimas sustoja ties faktu, kad tarp dviejų mazgų yra tunelis.

Mazgo vardo tarp jų nėra. Svetainės nuteka pro kitas duris, o plačiausios yra DNS: jei nešiojamasis vis dar klausia vietinio sprendiklio, vardai pasirodo atvirai.

Laikas ir apimtis nusipelno pagarbos be perdėjimo. Baitų per minutę gali parodyti, kad didelis perdavimas prasideda 14:20; jie negali parodyti, kuris failas pajudėjo. Tai tikras atskleidimas apie elgesį ir kita kategorija nei turinio skaitymas.

TLS perėmimui reikia šaknies, kuria jau pasitikite

Tikrinantis įrenginys nelaužo TLS; jis jį užbaigia. Klientui atsako sertifikatas iš šaknies, kurią valdo organizacija, o antras ryšys eina į tikrąją paskirties vietą. Klientas tai priima, nes ta šaknis yra jo patikėjimo saugykloje, todėl valdomas nešiojamasis nerodo jokio įspėjimo. Kriptografija niekada nebuvo nugalėta; galinis taškas buvo perkeltas.

Štai kodėl ši tvarka palieka įrodymų. Pateiktos grandinės išdavėjas priklauso organizacijai, o ne viešajai CA, ir klientas tai gali matyti be specialių įrankių. Grandinė, besibaigianti vidine šaknimi, yra perėmimo parašas, o ne gedimas.

Kodėl VPN kanalas nėra HTTPS sesija

VPN duomenų kanalas nesuteikia inspektoriui tokio atramos taško. IKEv2 ir WireGuard vykdo savo rankos paspaudimus ir raktų grafikus, be TLS, kurį reikėtų užbaigti, o OpenVPN skolinasi TLS savo valdymo kanalui pakeista forma, prieš apsaugodamas duomenis savo būdu. Tarpinė serveris, pastatytas HTTPS, nepažįsta tos sesijos kaip kažko, ką galėtų išanalizuoti.

Įrenginys, kuris negali išanalizuoti sesijos, vis tiek gali ją numesti. Todėl VPN blokavimas paprastai atrodo kaip laiko limitas, o ne sertifikato įspėjimas, ir todėl išimtis nieko nekeičia.

Patikrinkite iš savo mašinos

Pradėkite nuo grandinės, kurią pateikia svetainė. Naršyklės svetainės informacija rodo išdavėją, o komandinė eilutė praneša tą patį be santraukos:

openssl s_client -connect example.com:443 -servername example.com

Tada skaitikliais atskirkite atmestą rankos paspaudimą nuo filtruoto vidinio srauto. Užregistruokite transporto prievadą prieš bet kurią numetimo taisyklę ir perskaitykite juos po bandymo:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Jokia žurnalo eilutė išoriniame lizde reiškia, kad rankos paspaudimas niekada neišėjo, tad kelias atsisako tunelio. Užbaigtas rankos paspaudimas, kai nepavyksta tik kai kurie tikslai, reiškia, kad tunelis veikia, o vidinė politika ne. Nė vienas rezultatas nereikalavo perskaityti nė vieno krovinio baito.

Skaitymas, kuris iš tikrųjų vyksta, yra pakraščiuose: padalytas tunelis perduoda vidinį HTTPS įmonės tarpinei, o darbdaviui priklausantis koncentratorius išėjime atskleidžia viską. Ką bebūtumėte radę, neišjunkite sertifikato tikrinimo, kad priverstumėte ryšį, nes tas patikrinimas yra vienintelis dalykas, skiriantis inspekciją nuo užpuoliko.