Ko vietējais tīkls joprojām redz caur jūsu VPN

Trīs novērotāji saplūst vienā jautājumā ikreiz, kad kāds jautā, vai VPN slēpj viņa datplūsmu: tīkls, kuram viņš ir pievienots, mašīna viņa rokās un tuneļa operators. Katrs uzzina ko citu, un tunelis maina katru no šiem skatiem citādi. Ir lietderīgi strādāt pretējā virzienā un sākt ar izteikto apgalvojumu, jo tieši apgalvojumam jāiztur pārbaude. Izlemiet, kurš apgalvojums jums vajadzīgs, un pēc tam salīdziniet ar to rīkus.

Pirmais apgalvojums: neviens nevar nolasīt datplūsmu

Sāciet ar šaurāko apgalvojumu: lietderīgā slodze paliek nenolasāma. Pasīvs novērotājs ceļā nevar ieskatīties TLS sesijā, tāpēc tunelis maz ko pievieno vietnei, kas jau izmanto HTTPS, un neko nepievieno pret abiem galapunktiem. Šo apgalvojumu lauž tas, kurš kontrolē ierīci, jo pārbaudes starpniekserveris pārtrauc savienojumu un paraksta to no jauna ar sakni, kurai mašīna jau uzticas. Tāpēc slēdzenes simbols joprojām parādās, kamēr sertifikātu ķēdē ir tās organizācijas nosaukums, kas instalēja sakni.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

Operētājsistēmā macOS šī plūsma izdrukā vienu subjekta rindu katram mašīnas atslēgu saišķa sertifikātam, neatverot logu, bet sistēmā Windows certutil -store Root uzskaita to pašu krātuvi, ko certlm.msc parāda grafiski. Sakne, kas pieder skolai, darba devējam vai tīkla drošības produktam, ir ieraksts, kas jāmeklē. Vienas atrašana pierāda tikai to, ka pārtveršana ir iespējama, nevis ka tā notiek.

Tas, ko jūs ar to varat darīt, ir politikas, nevis tehnikas jautājums. Profila vai pārbaudes saknes noņemšana no aparatūras, kas jums nepieder, parasti pārkāpj pieņemamas lietošanas līgumu, un pārvaldības sistēma to parasti pamana un atkal piemēro, tāpēc prasībai, ka ierīces īpašnieks nedrīkst lasīt jūsu datplūsmu, vajadzīga cita ierīce, nevis cits iestatījums.

Otrais apgalvojums: neviens neredz, kurp jūs ejat

Galamērķis ir grūtākais apgalvojums, jo divi atklājumi notiek pirms lapas ielādes. Vaicājums dodas uz to atrisinātāju, kuru sistēma ir konfigurēta lietot, un atbilde ir redzama tīklam, kas to pārnēsā. Pēc tam TLS rokasspiediens atklāti pārnes pieprasīto servera nosaukumu, ja vien Encrypted Client Hello netiek atbalstīts abos galos. Neviens no atklājumiem neietver atšifrēšanu, tāpēc tunelim nav ietekmes uz nevienu.

resolvectl status | grep -A2 "Link"
nslookup example.com

Tas, kurš atrisinātājs faktiski tiek lietots, nosaka pakļautību, un to var izmērīt, nevis apspriest. Linux resolvectl status izdrukā DNS serverus katrai saitei, un tā izvade pasaka, vai atbild vietnes atrisinātājs vai uzspiestais. Windows uz to pašu jautājumu atbild ar nslookup example.com, kura izvades pirmais bloks ir atbildējušais DNS serveris.

Kad klēpjdators jautā vietnes atrisinātājam pirms tuneļa pacelšanas, vai profils ierodas bez aizstājējservera, tāpēc vecais paliek lietošanā, administrators joprojām vāc resursdatoru nosaukumus, neko neatšifrējot. Šifrētais DNS pārlūkā vai nu apiet uzspiesto atrisinātāju, vai arī tiek pilnībā bloķēts un neizdodas slēgti. Izejas operators no savas puses redz tos pašus nosaukumus. Tāpēc atrisinātāja maiņa šo atklājumu neattālina no tuneļa pakalpojumu sniedzēja.

Trešais apgalvojums: neviens nezina, ka jūs pievienojāties

Trešais apgalvojums ir tas, ko tunelis nevar atbalstīt, jo paketes joprojām šķērso vietējo tīklu. Šis tīkls uzzina galapunkta adresi, aptuveno apjomu, laiku un vienas ilgstošas šifrētas sesijas esamību, ar ko pietiek, lai bloķētu, ierobežotu vai vienkārši pamanītu. Ugunsmūris, kas nevar nolasīt paketi, tomēr var atteikties to laist cauri. Tikt novērotam nav tas pats, kas netikt nevienam novērotam: jūs pārvietojāt novērotāju, jūs to neizdzēsāt.

Sadalītā tuneļošana un jebkura lietotne, kas ignorē uzspiesto maršrutu, rada plūsmas ārpus tuneļa, kas izskatās tieši tāpat kā iepriekš. Tieši šīs plūsmas uzmanīgs novērotājs pamana pirmās, un klienta maršrutu tabula parāda, kuri galamērķi ir izslēgti.

Operators otrā galā tur šī skata spoguļattēlu: izejas adrese, laiks, apjoms un parasti vietņu nosaukumi. Jūsu pakalpojumu sniedzējs kļūst par pusi ar skata punktu, un tas ir cits darījums nekā neredzamība. Izvēlēties uzticamu pakalpojumu sniedzēju ir īsts lēmums; nosaukt rezultātu par nenovērotu nav.

Izlemiet, kurš apgalvojums jums vajadzīgs

Uzrakstiet prasību vienā rindā, pirms pieskaraties klientam: paslēpt saturu, paslēpt galamērķus vai paslēpt, vai vispār pievienojāties. Saturs jau tiek apstrādāts ar HTTPS kopā ar tuneli, bet galamērķiem vajadzīgs atrisinātājs un ceļš, kas pilnībā apiet vietnes aprīkojumu.

Trešā prasība ir neērtā, jo kaut kas joprojām redzami ir kaut kur pievienots, šifrēts vai ne. Neviens klienta iestatījums to nemaina. Ja prasība un politika šķiras, šī plaisa pieder sarunai ar to, kuram pieder politika, nevis klienta opcijai. Persona, kas uz to var atbildēt, ir tā, kas uzrakstīja politiku.