X’jista’ u x’ma jistax jara firewall korporattiv ġewwa VPN

L-istess laptop jasal għall-VPN mid-dar u ma jistax jgħaqqad mill-uffiċċju, allura xi ħadd qed jaqra t-traffiku. L-imblukkar u l-qari huma setgħat separati, u t-tieni biss jeħtieġ post fuq il-mogħdija flimkien ma’ ċertifikat li l-klijent jafdah. Kaxxa tan-nofs li tarmi l-handshake tiegħek ma tgħallmet xejn dwar dak li kont se tibgħat. Li tiddeċiedi liema miż-żewġ hija quddiemek huwa x-xogħol kollu.

L-imblukkar u l-qari huma setgħat differenti

Ċaħda hija rħisa u ħarxa: is-socket tiftaħ u xejn ma jwieġeb, jew jasal reset mill-ewwel. Xejn minn dan ma jimplika spezzjoni, għax l-ebda tagħbija ma qasmet il-wajer.

Il-qari jeħtieġ punt aħħari li jtemm il-protezzjoni, jipprova lilu nnifsu b’ċertifikat u jibda konnessjoni ġdida ’l quddiem. Dak il-punt irid ikun fuq il-mogħdija u jkun fdat mill-klijent. Firewall li sempliċement jgħaddi pakketti m’għandux la pożizzjoni u lanqas kredenzjali.

X’jagħti l-involukru b’xejn

Kull pakkett tal-mina għandu barra, u l-barra trid tkun tista’ tiġi rrutata. Dan ifisser żewġ indirizzi, protokoll, port u tul, flimkien ma’ ħin u volum. Kwalunkwe router diġà jittratta dawk l-oqsma, u NAT jerġa’ jikteb l-indirizz u l-port biex iżomm it-tabella tal-mapping tiegħu konsistenti. It-tagħbija tibqa’ ssiġillata, allura l-osservazzjoni tieqaf fil-fatt li teżisti mina bejn żewġ hosts.

Isem tal-host mhuwiex fosthom. Is-siti jnixxu minn bibien oħra, u l-usa’ hija DNS: jekk il-laptop għadu jistaqsi lir-resolver lokali, l-ismijiet jidhru fil-beraħ.

Il-ħin u l-volum jixirqu rispett mingħajr eseġerazzjoni. Bytes fil-minuta jistgħu juru li trasferiment kbir jibda fis-14:20; ma jistgħux juru liema fajl ċċaqlaq. Din hija żvelar reali dwar l-imġiba, u kategorija differenti mill-qari tal-kontenut.

L-interċettazzjoni TLS teħtieġ għerq li diġà tafdah

Apparat tal-ispezzjoni ma jkissirx TLS; jtemmu. Il-klijent jiġi mwieġeb b’ċertifikat minn għerq li l-organizzazzjoni tippossjedi, u t-tieni konnessjoni tmur fid-destinazzjoni vera. Il-klijent jaċċetta dan għax dak l-għerq jinsab fil-maħżen tal-fiduċja tiegħu, u għalhekk laptop ġestit ma jurix twissija. Il-kriptografija qatt ma ġiet megħluba; il-punt aħħari ġie mċaqlaq.

Għalhekk dan l-arranġament iħalli provi. L-emittent fuq il-katina ppreżentata jappartjeni lill-organizzazzjoni u mhux lil CA pubblika, u klijent jista’ jarah mingħajr għodod speċjali. Katina li tintemm fi għerq intern hija l-firma tal-interċettazzjoni, mhux ħsara.

Għaliex kanal VPN mhuwiex sessjoni HTTPS

Kanal tad-data VPN ma jagħtix lill-ispezzjoni tali appoġġ. IKEv2 u WireGuard iħaddmu l-handshakes u l-iskedi taċ-ċavetta tagħhom stess, mingħajr TLS x’tintemm, filwaqt li OpenVPN jissellef TLS għall-kanal ta’ kontroll tiegħu f’forma modifikata qabel ma jipproteġi d-data bil-mod tiegħu. Proxy mibni għal HTTPS ma jirrikonoxxix dik is-sessjoni bħala xi ħaġa li jista’ jipparsja.

Apparat li ma jistax jipparsja sessjoni xorta jista’ jarmiha. Għalhekk l-imblukkar tal-VPN normalment jidher bħala timeout u mhux twissija ta’ ċertifikat, u għalhekk eċċezzjoni ma tbiddel xejn.

Ivverifika mill-magna tiegħek stess

Ibda bil-katina li tippreżenta s-sit. Id-dettalji tas-sit fil-browser juru l-emittent, u l-linja tal-kmand tirrapporta l-istess ħaġa mingħajr is-sommarju:

openssl s_client -connect example.com:443 -servername example.com

Imbagħad aqsam handshake miċħud mit-traffiku intern iffiltra b’kontaturi. Illoggja l-port tat-trasport qabel kwalunkwe regola ta’ twaqqigħ u aqrahom wara l-attentat:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

L-ebda linja ta’ log fuq is-socket ta’ barra tfisser li l-handshake qatt ma ħareġ, allura l-mogħdija qed tirrifjuta l-mina. Handshake komplut b’xi destinazzjonijiet biss jonqsu jfisser li l-mina taħdem u l-politika ġo fiha le. L-ebda riżultat ma kien jeħtieġ qari ta’ byte ta’ tagħbija.

Il-qari li tassew iseħħ jinsab fit-truf: mina maqsuma tgħaddi l-HTTPS intern lil proxy korporattiv, u konċentratur proprjetà tal-imgħallem jesponi kollox fil-ħruġ. X’tikxef, tiddiżattivax il-verifika taċ-ċertifikati biex iġġiegħel konnessjoni, għax dik il-verifika hija l-unika ħaġa li tifred l-ispezzjoni minn attakkant.