VPN noteikšana ir atkarīga no tā, no kurienes jūs skatāties

Divi detektori var novērot vienu un to pašu lietotāju un nepiekrist, abi pareizi. Novērotājs pie piekļuves līnijas redz VPN ārējo sarunu; vietne redz lietojumprogrammas savienojumu, kas nāk no izejas. Tie ir dažādi savienojumi ar dažādiem pirkstu nospiedumiem, un viena pierādījumi nepārnesas uz otru. Novērojuma punkta nosaukšana pirms jebkura TLS vai TCP testa apspriešanas ir tas, kas padara apgalvojumu jēgpilnu.

Detektors bez norādīta novērojuma punkta apraksta viedokli, nevis mērījumu.

Divi novērojuma punkti, divi dažādi savienojumi

Ārējā saruna pieder tuneļa protokolam: savi ziņojumu formāti, sava stāvokļa mašīna, savs laiks. Iekšējais savienojums ir pārlūkprogramma, kas atver TLS uz vietni, tiek nests caur tuneli un pēc tam pārsūtīts no izejas. Abi pastāv vienā mirklī, un tie nav viena un tā pati plūsma. Viens ir tas, ko var redzēt piekļuves tīkls, otrs ir tas, ko var redzēt galamērķis, un starpniekierīce, kas izbeidz jebkuru no tiem, maina abus attēlus.

Šī atšķirība izskaidro lielāko daļu apjukuma noteikšanas diskusijās. Tests, kas ziņo vienu lietu par plūsmu, bieži atbild uz jautājumu par citu slāni, nekā operatoram bija prātā.

Ko redz piekļuves ceļa novērotājs

Pie piekļuves līnijas redzamais materiāls ir pats tuneļa protokols: vadības un datu paketes tipi OpenVPN, WireGuard fiksētā izmēra rokasspiediena un datu modeļi vai jebkurš ieviešanas pievienotais apvalks. Vai klasifikators tos var identificēt, ir atkarīgs no tā, kas ir redzams, kurš transports tos nes un vai ir papildu aizsegšana. Atpazīstams modelis ir pierādījums par plūsmu, nevis pierādījums par aiz tā esošās personas identitāti vai nodomu.

443. ports ir vienošanās, lai sasniegtu pakalpojumu. Tas nepadara katru tuneļa transportu par HTTPS.

Ko vietne faktiski redz

Ar maršrutētu tuneli pārlūkprogramma joprojām veic savu TLS sesiju ar vietni. Tulkošana izejā nepārvērš VPN vārteju par pārlūkprogrammas TLS galapunktu, tāpēc ClientHello, ko vietne saņem, apraksta pārlūkprogrammu vai tās TLS bibliotēku. JA3 stila pirkstu nospiedums tāpēc raksturo lietojumprogrammas savienojumu, nevis to nesošo VPN programmatūru. Tikai apzināti izbeidzošs starpniekserveris maina šo izkārtojumu, un tas ir jāidentificē atsevišķi.

TCP novērojumiem nepieciešama tāda pati rūpība. Pārsūtīšana, tulkošana un starpniekserveris, kas sāk jaunu savienojumu, ir trīs dažādi risinājumi, un tikai viens no tiem pārraksta transporta steku. Viena neparasta īpašība viennozīmīgi nenozīmē tuneli.

Turiet apgalvojumu pierādījumu robežās

Tīkla klasifikācija, protokola novērošana, lietojumprogrammu pirkstu nospiedumi un konta signāli ir riska lēmuma ievades, katram ir nepatiesi pozitīvi, nepatiesi negatīvi un trūkstoši pierādījumi. Adrese mitināšanas diapazonā neko nepierāda par komerciālu VPN, un parasts pārlūkprogrammas pirkstu nospiedums neko nepierāda par tiešu. Novērtējot detektoru, izmantojiet atļautu datu kopu ar zināmiem ceļiem un pierakstiet, kurš novērojums deva katru rezultātu.

Turiet protokola klasifikāciju atsevišķi no sekām bagātas piekļuves lēmuma. Pielāgota atbilde vai bojātas paketes triks neapstiprina aiz tā esošo secinājumu; tas tikai izdara spiedienu uz minējumu.

Noderīgs ziņojums nosauc novērojumu, novērojuma punktu un pārliecību. Kaila rinda «VPN noteikts» slēpj tieši to daļu, kas ļautu kādam to pārbaudīt.