Pengesanan VPN bergantung pada dari mana anda memerhati

Dua pengesan boleh memerhati pengguna yang sama dan berselisih, kedua-duanya betul. Pemerhati di sisi pautan akses melihat perbualan luar VPN; laman web melihat sambungan aplikasi yang tiba dari pintu keluar. Itu sambungan berbeza dengan cap jari berbeza, dan bukti daripada satu tidak berpindah ke yang lain. Menamakan titik pemerhatian sebelum membincangkan apa-apa ujian TLS atau TCP ialah yang menjadikan dakwaan itu bermakna.

Pengesan tanpa titik pemerhatian yang dinyatakan menerangkan pendapat, bukan ukuran.

Dua titik pemerhatian, dua sambungan berbeza

Perbualan luar milik protokol terowong: format mesejnya sendiri, mesin keadaannya sendiri, masanya sendiri. Sambungan dalam ialah pelayar membuka TLS ke laman web, dibawa melalui terowong dan kemudian diteruskan dari pintu keluar. Kedua-duanya wujud pada masa yang sama dan ia bukan aliran yang sama. Satu ialah apa yang boleh dilihat oleh rangkaian akses, satu lagi ialah apa yang boleh dilihat oleh destinasi, dan kotak tengah yang menamatkan mana-mana satu daripadanya mengubah kedua-dua gambaran.

Perbezaan itu menerangkan sebahagian besar kekeliruan dalam perbincangan pengesanan. Ujian yang melaporkan satu perkara tentang aliran selalunya menjawab soalan tentang lapisan yang berbeza daripada yang difikirkan oleh pengendali.

Apa yang dilihat oleh pemerhati laluan akses

Di sisi pautan akses bahan yang kelihatan ialah protokol terowong itu sendiri: jenis paket kawalan dan data untuk OpenVPN, corak jabat tangan dan data bersaiz tetap WireGuard, atau apa-apa pembalut yang ditambah oleh penggunaan. Sama ada pengelas boleh mengenal pastinya bergantung pada apa yang kelihatan, pengangkutan mana yang membawanya dan sama ada ada penyamaran tambahan. Corak yang boleh dikenali ialah bukti tentang aliran, dan bukan bukti tentang identiti atau niat orang di belakangnya.

Port 443 ialah konvensyen untuk mencapai perkhidmatan. Ia tidak menjadikan setiap pengangkutan terowong sebagai HTTPS.

Apa yang sebenarnya dilihat oleh laman web

Dengan terowong yang dihalakan, pelayar masih menjalankan sesi TLSnya sendiri dengan laman. Terjemahan di pintu keluar tidak menjadikan gerbang VPN sebagai titik akhir TLS pelayar, jadi ClientHello yang diterima oleh laman menerangkan pelayar atau pustaka TLSnya. Cap jari gaya JA3 oleh itu mencirikan sambungan aplikasi, bukan perisian VPN yang membawanya. Hanya proksi yang menamatkan dengan sengaja mengubah susunan itu, dan ia mesti dikenal pasti secara berasingan.

Pemerhatian TCP memerlukan penjagaan yang sama. Pemajuan, terjemahan dan proksi yang memulakan sambungan baharu ialah tiga reka bentuk berbeza, dan hanya satu daripadanya menulis semula tindanan pengangkutan. Satu ciri luar biasa tidak secara unik membayangkan terowong.

Kekalkan dakwaan dalam bukti

Pengelasan rangkaian, pemerhatian protokol, cap jari aplikasi dan isyarat akaun ialah input kepada keputusan risiko, masing-masing dengan positif palsu, negatif palsu dan bukti yang hilang. Alamat dalam julat hosting tidak membuktikan apa-apa tentang VPN komersial, dan cap jari pelayar biasa tidak membuktikan apa-apa tentang VPN langsung. Apabila menilai pengesan, gunakan set data sah dengan laluan yang diketahui dan catat pemerhatian mana yang menghasilkan setiap keputusan.

Kekalkan pengelasan protokol berasingan daripada keputusan akses yang berakibat. Respons tersuai atau helah paket cacat tidak mengesahkan inferens di belakangnya; ia hanya memberi tekanan kepada tekaan.

Laporan yang berguna menamakan pemerhatian, titik pemerhatian dan keyakinan. Baris «VPN dikesan» yang kosong menyembunyikan tepat bahagian yang membolehkan seseorang menyemaknya.