Apa yang masih dilihat oleh rangkaian setempat melalui VPN anda

Tiga pemerhati bergabung menjadi satu soalan setiap kali seseorang bertanya sama ada VPN menyembunyikan trafiknya: rangkaian yang disambungnya, mesin di tangannya dan pengendali terowong. Setiap satu mempelajari perkara berbeza, dan terowong mengubah setiap pandangan itu dengan cara berbeza. Berguna untuk bekerja ke arah bertentangan dan bermula daripada dakwaan yang dibuat, kerana dakwaan itulah yang perlu bertahan daripada penelitian. Tentukan dakwaan mana yang anda perlukan, kemudian bandingkan alat dengannya.

Dakwaan pertama: tiada siapa boleh membaca trafik

Mulakan dengan dakwaan paling sempit: muatan kekal tidak terbaca. Pemerhati pasif di laluan tidak dapat melihat ke dalam sesi TLS, jadi terowong menambah sedikit pada laman yang sudah menggunakan HTTPS dan tidak menambah apa-apa terhadap kedua-dua hujung. Pihak yang mematahkan dakwaan ini ialah sesiapa yang mengawal peranti, kerana proksi pemeriksaan menamatkan sambungan dan menandatanganinya semula dengan akar yang sudah dipercayai mesin. Itulah sebabnya mangga masih muncul sementara rantai sijil membawa nama organisasi yang memasang akar itu.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

Di macOS saluran itu mencetak satu baris subjek bagi setiap sijil dalam gantungan kunci mesin, tanpa membuka tetingkap, dan di Windows certutil -store Root menyenaraikan stor yang sama yang ditunjukkan certlm.msc secara grafik. Akar milik sekolah, majikan atau produk keselamatan rangkaian ialah entri yang perlu dicari. Menemui satu hanya membuktikan bahawa pemintasan mungkin berlaku, bukan bahawa ia sedang berlaku.

Apa yang anda boleh lakukan mengenainya ialah soal dasar, bukan soal teknikal. Membuang profil atau akar pemeriksaan daripada perkakasan yang bukan milik anda biasanya melanggar perjanjian penggunaan boleh terima, dan sistem pengurusan cenderung menyedarinya lalu menerapkannya semula, jadi keperluan bahawa pemilik peranti tidak boleh membaca trafik anda memerlukan peranti lain, bukan tetapan lain.

Dakwaan kedua: tiada siapa dapat melihat ke mana anda pergi

Destinasi ialah dakwaan yang lebih sukar, kerana dua pendedahan berlaku sebelum halaman dimuatkan. Pertanyaan pergi ke penyelesai mana pun yang dikonfigurasikan sistem, dan jawapannya kelihatan kepada rangkaian yang membawanya. Kemudian jabat tangan TLS membawa nama pelayan yang diminta secara terbuka, kecuali Encrypted Client Hello disokong di kedua-dua hujung. Kedua-dua pendedahan itu tidak melibatkan penyahsulitan, jadi terowong tidak memberi kesan kepada mana-mana.

resolvectl status | grep -A2 "Link"
nslookup example.com

Penyelesai mana yang benar-benar digunakan menentukan pendedahan, dan ia boleh diukur daripada dipertikaikan. Di Linux resolvectl status mencetak pelayan DNS bagi setiap pautan, dan outputnya memberitahu anda sama ada penyelesai laman atau yang didorong yang menjawab. Windows menjawab soalan yang sama dengan nslookup example.com, yang blok output pertamanya ialah pelayan DNS yang menjawab.

Apabila komputer riba bertanya kepada penyelesai laman sebelum terowong naik, atau profil tiba tanpa pelayan pengganti sehingga yang lama kekal digunakan, pentadbir masih mengumpul nama hos tanpa menyahsulit apa-apa. DNS tersulit dalam pelayar sama ada memintas penyelesai yang didorong atau disekat sepenuhnya dan gagal tertutup. Pengendali keluar melihat nama yang sama dari sisinya. Jadi menukar penyelesai tidak memindahkan pendedahan itu daripada pembekal terowong.

Dakwaan ketiga: tiada siapa tahu anda telah bersambung

Dakwaan ketiga ialah yang tidak dapat disokong oleh terowong, kerana paket masih melintasi rangkaian setempat. Rangkaian itu mempelajari alamat titik akhir, isi padu anggaran, masa dan kewujudan satu sesi tersulit yang panjang hayatnya, yang cukup untuk menyekat, mengehadkan atau sekadar memerhatikan. Tembok api yang tidak dapat membaca paket masih boleh enggan melepaskannya. Diperhatikan tidak sama dengan tidak diperhatikan oleh sesiapa: anda memindahkan pemerhati, bukan menghapuskannya.

Terowong berpecah, dan mana-mana aplikasi yang mengabaikan laluan yang didorong, menghasilkan aliran di luar terowong yang kelihatan sama seperti sebelum ini. Aliran itulah yang mula-mula disedari pemerhati yang teliti, dan jadual laluan klien menunjukkan destinasi mana yang dikecualikan.

Pengendali di hujung sana memegang cermin pandangan itu: alamat keluar, masa, isi padu dan biasanya nama laman. Pembekal anda menjadi pihak yang mempunyai sudut pandangan, dan itu tawar-menawar yang berbeza daripada ketidaknampakan. Memilih pembekal yang anda percayai ialah keputusan sebenar; menyebut hasilnya sebagai tidak diperhatikan bukan.

Tentukan dakwaan mana yang anda perlukan

Tulis keperluan dalam satu baris sebelum menyentuh klien: sembunyikan kandungan, sembunyikan destinasi atau sembunyikan sama ada anda bersambung. Kandungan sudah dikendalikan oleh HTTPS bersama terowong, manakala destinasi memerlukan penyelesai dan laluan yang memintas sepenuhnya peralatan laman.

Keperluan ketiga ialah yang janggal, kerana sesuatu masih kelihatan bersambung di suatu tempat, tersulit atau tidak. Tiada tetapan klien mengubahnya. Jika keperluan dan dasar berpisah, jurang itu tergolong dalam perbualan dengan pemilik dasar, bukan dalam pilihan klien. Orang yang boleh menjawabnya ialah orang yang menulis dasar itu.