Што уште гледа локалната мрежа низ вашиот VPN

Тројца набљудувачи се спојуваат во едно прашање секогаш кога некој прашува дали VPN го крие неговиот сообраќај: мрежата на која е поврзан, машината во рацете и операторот на тунелот. Секој учи нешто различно, а тунелот го менува секој од тие погледи на различен начин. Помага да се работи во спротивна насока и да се почне од тврдењето, бидејќи токму тврдењето треба да ја издржи проверката. Одлучете кое тврдење ви треба, потоа споредете ги алатките со него.

Прво тврдење: никој не може да го прочита сообраќајот

Почнете со најтесното тврдење: товарот останува нечитлив. Пасивен набљудувач на патот не може да види во сесија на TLS, па тунелот додава малку на страница што веќе користи HTTPS и не додава ништо против двете крајни точки. Тврдењето го крши тој што го контролира уредот, бидејќи инспекцискиот прокси ја завршува врската и повторно ја потпишува со корен на кој машината веќе му верува. Затоа катанецот и понатаму се појавува додека синџирот на сертификати го носи името на организацијата што го инсталирала коренот.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

На macOS таа постапка испечатува една линија за субјект за секој сертификат во привезокот на клучеви на машината, без да отвори прозорец, а на Windows certutil -store Root ја наведува истата складишница што certlm.msc ја прикажува графички. Корен што припаѓа на училиште, работодавач или производ за мрежна безбедност е записот што треба да се бара. Наоѓањето на еден докажува само дека пресретнувањето е можно, а не дека се случува.

Што можете да направите во врска со тоа е прашање на политика, а не на техника. Отстранувањето на профил или инспекциски корен од хардвер што не е ваш обично го крши договорот за прифатлива употреба, а системот за управување обично го забележува и повторно го применува, така што барањето сопственикот на уредот да не го чита вашиот сообраќај бара друг уред, а не друга поставка.

Второ тврдење: никој не гледа каде одите

Одредиштето е потешкото тврдење, бидејќи две откривања се случуваат пред да се вчита страница. Барањето оди до резолверот што системот е конфигуриран да го користи, а одговорот е видлив за мрежата што го носи. Потоа ракувањето на TLS го носи побараното име на серверот отворено, освен ако Encrypted Client Hello не е поддржан на двата краја. Ниту едно од двете откривања не вклучува дешифрирање, па тунелот нема влијание на ниту едно.

resolvectl status | grep -A2 "Link"
nslookup example.com

Кој резолвер всушност се користи го одредува изложувањето, и тоа може да се измери наместо да се расправа. На Linux resolvectl status ги печати DNS-серверите по врска, а неговиот излез ви кажува дали одговара резолверот на страницата или наметнатиот. Windows одговара на истото прашање со nslookup example.com, чиј прв блок од излезот е DNS-серверот што одговорил.

Кога преносниот сметач го прашува резолверот на страницата пред да се крене тунелот, или профилот пристигнува без заменски сервер, така што стариот останува во употреба, администраторот продолжува да собира имиња на домаќини без ништо да дешифрира. Шифрираниот DNS во прелистувачот или го заобиколува наметнатиот резолвер, или целосно се блокира и не успева затворен. Операторот на излезот ги гледа истите имиња од својата страна. Затоа менувањето на резолверот не го оддалечува тоа откривање од давателот на тунелот.

Трето тврдење: никој не знае дека сте се поврзале

Третото тврдење е она што тунелот не може да го поддржи, бидејќи пакетите продолжуваат да ја преминуваат локалната мрежа. Таа мрежа го учи адресот на крајната точка, приближниот обем, времето и постоењето на една долготрајна шифрирана сесија, што е доволно да блокира, ограничи или едноставно да забележи. Огнениот ѕид што не може да прочита пакет сепак може да одбие да го пропушти. Да бидете набљудувани не е исто како никој да не ве набљудува: го преместивте набљудувачот, не го избришавте.

Поделеното тунелирање и секоја апликација што ја игнорира наметнатата рута создаваат текови надвор од тунелот што изгледаат точно како порано. Токму тие текови грижлив набљудувач ги забележува први, а табелата со рути на клиентот покажува кои одредишта се исклучени.

Операторот на другиот крај го држи огледалниот лик на тој поглед: излезна адреса, време, обем и обично имињата на страниците. Вашиот давател станува страната со гледна точка, што е поинаква зделка од невидливоста. Да изберете давател на кој му верувате е вистинска одлука; да го наречете резултатот ненабљудуван не е.

Одлучете кое тврдење ви треба

Запишете го барањето во еден ред пред да допрете клиент: скријте ја содржината, скријте ги одредиштата или скријте дали воопшто сте се поврзале. Содржината веќе ја обработуваат HTTPS заедно со тунелот, додека одредиштата бараат резолвер и пат што целосно ја заобиколуваат опремата на страницата.

Третото барање е непријатното, бидејќи нешто уште видливо е поврзано некаде, шифрирано или не. Ниту една поставка на клиентот не го менува тоа. Ако барањето и политиката се разделат, таа разлика припаѓа на разговор со тој што ја поседува политиката, а не на опција во клиентот. Личноста што може да одговори е онаа што ја напишала политиката.