Apa yang boleh dan tidak boleh dilihat oleh tembok api korporat di dalam VPN

Komputer riba yang sama mencapai VPN dari rumah dan tidak dapat menyambung dari pejabat, jadi seseorang mesti sedang membaca trafik itu. Menyekat dan membaca ialah dua kuasa berasingan, dan hanya yang kedua memerlukan tempat pada laluan serta sijil yang dipercayai klien. Kotak tengah yang menggugurkan jabat tangan anda tidak belajar apa-apa tentang apa yang akan anda hantar. Memutuskan yang mana antara kedua-duanya anda hadapi ialah keseluruhan kerja.

Menyekat dan membaca ialah kuasa yang berbeza

Penolakan itu murah dan lantang: soket terbuka dan tiada apa yang menjawab, atau set semula tiba serta-merta. Tiada satu pun daripada itu bermaksud pemeriksaan, kerana tiada muatan melintasi wayar.

Membaca memerlukan titik akhir yang menamatkan perlindungan, membuktikan dirinya dengan sijil, dan memulakan sambungan baharu ke hadapan. Titik itu mesti berada pada laluan dan dipercayai oleh klien. Tembok api yang hanya memajukan paket tidak mempunyai kedudukan mahupun kelayakan.

Apa yang pembalut berikan secara percuma

Setiap paket terowong mempunyai bahagian luar, dan bahagian luar mesti boleh dilalui. Itu bermaksud dua alamat, satu protokol, satu port dan satu panjang, serta masa dan isipadu. Mana-mana penghala sudah mengendalikan medan itu, dan NAT menulis semula alamat dan port untuk mengekalkan jadual pemetaannya konsisten. Muatan kekal termeterai, jadi pemerhatian berhenti pada fakta bahawa ada terowong antara dua hos.

Nama hos bukan antaranya. Laman bocor melalui pintu lain, dan yang paling lebar ialah DNS: jika komputer riba masih bertanya kepada penyelesai tempatan, nama-nama muncul secara terbuka.

Masa dan isipadu wajar dihormati tanpa dilebih-lebihkan. Bait seminit boleh menunjukkan bahawa pemindahan besar bermula pada 14:20; ia tidak boleh menunjukkan fail mana yang bergerak. Itu pendedahan sebenar tentang tingkah laku, dan kategori berbeza daripada membaca kandungan.

Pemintasan TLS memerlukan akar yang anda sudah percaya

Perkakas pemeriksaan tidak memecahkan TLS; ia menamatkannya. Klien dijawab oleh sijil daripada akar yang dimiliki organisasi, dan sambungan kedua pergi ke destinasi sebenar. Klien menerimanya kerana akar itu berada dalam stor kepercayaannya, sebab itulah komputer riba terurus tidak menunjukkan sebarang amaran. Kriptografi tidak pernah dikalahkan; titik akhir dipindahkan.

Sebab itulah susunan ini meninggalkan bukti. Penerbit pada rantai yang dibentangkan milik organisasi dan bukan CA awam, dan klien boleh melihatnya tanpa alat khas. Rantai yang berakhir pada akar dalaman ialah tandatangan pemintasan, bukan kerosakan.

Mengapa saluran VPN bukan sesi HTTPS

Saluran data VPN tidak memberikan pemeriksa pijakan sedemikian. IKEv2 dan WireGuard menjalankan jabat tangan serta jadual kunci mereka sendiri, tanpa TLS untuk ditamatkan, manakala OpenVPN meminjam TLS untuk saluran kawalannya dalam bentuk yang diubah suai sebelum melindungi data dengan caranya sendiri. Proksi yang dibina untuk HTTPS tidak mengenali sesi itu sebagai sesuatu yang boleh dihuraikannya.

Perkakas yang tidak dapat menghuraikan sesi masih boleh menggugurkannya. Sebab itulah penyekatan VPN biasanya kelihatan seperti tamat masa dan bukan amaran sijil, dan sebab itulah pengecualian tidak mengubah apa-apa.

Semak daripada mesin anda sendiri

Mulakan dengan rantai yang dibentangkan oleh laman. Butiran laman dalam pelayar menunjukkan penerbit, dan baris arahan melaporkan perkara yang sama tanpa ringkasan:

openssl s_client -connect example.com:443 -servername example.com

Kemudian asingkan jabat tangan yang ditolak daripada trafik dalaman yang ditapis dengan pembilang. Catat port pengangkutan sebelum mana-mana peraturan gugur dan bacanya selepas percubaan:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Tiada baris log pada soket luar bermaksud jabat tangan itu tidak pernah keluar, jadi laluan menolak terowong itu. Jabat tangan yang selesai dengan hanya sebahagian destinasi gagal bermaksud terowong berfungsi dan dasar di dalamnya tidak. Tiada satu pun hasil memerlukan pembacaan satu bait muatan.

Pembacaan yang benar-benar berlaku terletak di tepi: terowong berpecah menyerahkan HTTPS dalaman kepada proksi korporat, dan pemekat milik majikan mendedahkan segala-galanya di pintu keluar. Apa pun yang anda temui, jangan matikan pengesahan sijil untuk memaksa sambungan, kerana pemeriksaan itulah satu-satunya yang memisahkan pemeriksaan daripada penyerang.