X’għadha tara n-netwerk lokali permezz tal-VPN tiegħek

Tliet osservaturi jinġabru f’domanda waħda kull darba li xi ħadd jistaqsi jekk VPN jaħbix it-traffiku tiegħu: in-netwerk li miegħu huwa mqabbad, il-magna f’idejh u l-operatur tat-tunnell. Kull wieħed jitgħallem xi ħaġa differenti, u t-tunnell ibiddel kull waħda minn dawn il-veduti b’mod differenti. Jgħin li taħdem fid-direzzjoni l-oħra u tibda mid-dikjarazzjoni li ssir, għax id-dikjarazzjoni hija dik li trid tiflaħ għall-iskrutinju. Iddeċiedi liema dikjarazzjoni għandek bżonn, imbagħad qabbel l-għodod magħha.

L-ewwel dikjarazzjoni: ħadd ma jista’ jaqra t-traffiku

Ibda bl-aktar dikjarazzjoni dejqa: il-payload jibqa’ ma jinqarax. Osservatur passiv fit-triq ma jistax jara ġewwa sessjoni TLS, għalhekk it-tunnell iżid ftit ma’ sit li diġà juża HTTPS u ma jżid xejn kontra ż-żewġ trufijiet. Il-parti li tkisser din id-dikjarazzjoni hija min jikkontrolla l-apparat, għax prokura ta’ spezzjoni ttemm il-konnessjoni u terġa’ tiffirmaha b’għerq li l-magna diġà tafda. Huwa għalhekk li l-ktajjen tidher xorta waħda filwaqt li l-katina taċ-ċertifikati ġġorr l-isem tal-organizzazzjoni li installat l-għerq.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

Fuq macOS dik il-pipeline tistampa linja tas-suġġett waħda għal kull ċertifikat fil-ktajjen tal-magna, mingħajr ma tiftaħ tieqa, u fuq Windows certutil -store Root jelenka l-istess maħżen li certlm.msc juri b’mod grafiku. Għerq li jappartjeni lil skola, lil min iħaddem jew lil prodott tas-sigurtà tan-netwerk huwa d-dħul li wieħed ifittex. Li ssib wieħed jipprova biss li l-interċettazzjoni hija possibbli, mhux li qed isseħħ.

X’tista’ tagħmel dwar dan hija kwistjoni ta’ politika u mhux teknika. Li tneħħi profil jew għerq ta’ spezzjoni minn ħardwer li mhuwiex tiegħek normalment jikser il-ftehim dwar użu aċċettabbli, u s-sistema tal-ġestjoni għandha tendenza tinnotah u terġa’ tapplikah, għalhekk il-ħtieġa li s-sid tal-apparat ma jaqrax it-traffiku tiegħek teħtieġ apparat differenti, mhux setting differenti.

It-tieni dikjarazzjoni: ħadd ma jara fejn tmur

Id-destinazzjoni hija d-dikjarazzjoni aktar diffiċli, għax żewġ żvelar iseħħu qabel ma tgħabbi paġna. It-talba tmur għand ir-resolver li s-sistema hija kkonfigurata tuża, u t-tweġiba tidher għan-netwerk li jġorrha. Imbagħad il-ħruqa tal-idejn TLS iġġorr l-isem tas-server mitlub fil-beraħ, sakemm Encrypted Client Hello ma jkunx appoġġat fiż-żewġ trufijiet. L-ebda wieħed miż-żewġ żvelar ma jinvolvi decryptjar, għalhekk it-tunnell m’għandu l-ebda effett fuq lanqas wieħed.

resolvectl status | grep -A2 "Link"
nslookup example.com

Liema resolver qed jintuża tassew jiddeċiedi l-espożizzjoni, u dan jista’ jitkejjel minflok jiġi diskuss. Fuq Linux resolvectl status jistampa s-servers DNS għal kull konnessjoni, u l-output tiegħu jgħidlek jekk huwiex qed iwieġeb ir-resolver tas-sit jew dak imbuttat. Windows iwieġeb l-istess domanda b’nslookup example.com, li l-ewwel blokka tal-output tiegħu hija s-server DNS li wieġeb.

Meta l-laptop jistaqsi lir-resolver tas-sit qabel ma jogħla t-tunnell, jew il-profil jasal mingħajr server sostitut u allura dak antik jibqa’ jintuża, l-amministratur xorta jiġbor ismijiet tal-hosts mingħajr ma jiddekriptja xejn. Id-DNS encrypted fil-browser jew jevita r-resolver imbuttat jew jiġi mblukkat għal kollox u jonqos magħluq. L-operatur tal-ħruġ jara l-istess ismijiet min-naħa tiegħu. Għalhekk it-tibdil tar-resolver ma jbiegħedx dak l-iżvelar mill-fornitur tat-tunnell.

It-tielet dikjarazzjoni: ħadd ma jaf li qtajt

It-tielet dikjarazzjoni hija dik li tunnell ma jistax isostni, għax il-pakketti xorta jaqsmu n-netwerk lokali. Dak in-netwerk jitgħallem l-indirizz tal-punt tat-tarf, il-volum approssimattiv, il-ħin u l-eżistenza ta’ sessjoni encrypted waħda fit-tul, li biżżejjed biex timblokka, tillimita jew sempliċement tinnota. Firewall li ma jistax jaqra pakkett xorta jista’ jirrifjuta li jgħaddih. Li tkun osservat mhuwiex l-istess bħal li ħadd ma josserva: inti ċċaqlaqt l-osservatur, ma ħassartx.

It-tunnel split, u kull applikazzjoni li tinjora r-rotta mbuttata, jipproduċu flussi barra mit-tunnell li jidhru eżattament kif kienu qabel. Dawk huma l-flussi li osservatur attent jinnota l-ewwel, u t-tabella tar-rotot tal-klijent turi liema destinazzjonijiet huma esklużi.

L-operatur fit-tarf l-ieħor iżomm ix-xbieha tal-mera ta’ dik il-veduta: indirizz tal-ħruġ, ħin, volum u normalment l-ismijiet tas-siti. Il-fornitur tiegħek isir il-parti bil-punt tal-veduta, u dan huwa ftehim differenti mill-inviżibbiltà. Li tagħżel fornitur li tafdah hija deċiżjoni vera; li ssejjaħ ir-riżultat mhux osservat mhijiex.

Iddeċiedi liema dikjarazzjoni għandek bżonn

Ikteb il-ħtieġa f’linja waħda qabel ma tmiss klijent: aħbi l-kontenut, aħbi d-destinazzjonijiet jew aħbi jekk qtajtx xejn. Il-kontenut diġà jiġi mmaniġġjat mill-HTTPS flimkien mat-tunnell, filwaqt li d-destinazzjonijiet jeħtieġu resolver u triq li jevitaw għal kollox it-tagħmir tas-sit.

It-tielet ħtieġa hija dik skomda, għax xi ħaġa għadha tidher imqabbda x’imkien, encrypted jew le. L-ebda setting tal-klijent ma jbiddel dan. Jekk il-ħtieġa u l-politika jisseparaw, dak id-distakk jappartjeni għal konversazzjoni ma’ min jippossjedi l-politika, mhux għal għażla fil-klijent. Il-persuna li tista’ twieġeb hija dik li kitbet il-politika.