Fejn joqgħod TLS ġewwa OpenVPN, u x’ibiddel il-forma

OpenVPN tassew juża TLS, u n-nies ta’ spiss iwessgħu dan għal dikjarazzjoni li ma jiflaħx: li mina għalhekk tidher qisha browser li jżur sit. L-ewwel parti hija vera. It-tieni mhix. TLS hawn jappartjeni għal kanal ta’ kontroll li jivvjaġġa ġewwa l-kontenitur ta’ OpenVPN stess, flimkien ma’ kanal ta’ tagħbija b’kriptografija kompletament differenti, għalhekk min jeżamina l-ewwel bytes jara OpenVPN.

Żewġ konversazzjonijiet f’envelop wieħed

Aħseb fi sessjoni bħala żewġ konversazzjonijiet li jaqsmu envelop wieħed. Waħda tivvalida ċ-ċertifikati u toħroġ il-materjal tal-muftieħ. L-oħra tikkripta dak li fil-fatt qed tibgħat, billi tuża dak li pproduċiet l-ewwel waħda.

L-envelop huwa l-protokoll. Kull pakkett jibda b’intestatura żgħira li ssemmi t-tip tiegħu, u dik l-intestatura tasal qabel kull ħaġa oħra.

X’jasal tassew l-ewwel

Minħabba dak l-ordni, l-ewwel ħaġa fuq il-wajer mhix rekord TLS. Hija l-intestatura ta’ OpenVPN, segwita mill-kontenut ta’ dak il-kanal li tħabbar l-intestatura. ClientHello teżisti hemmhekk, biss mhux fil-byte żero. Mhu meħtieġ l-ebda dekripazzjoni biex tinnota d-differenza, għax il-forma waħedha tiżvelaha.

Il-valuri awtomatiċi jgħoddu hawn ukoll. Il-fluss huwa UDP lejn 1194 sakemm il-profil jagħżel TCP. Fiż-żewġ każijiet id-dehra ta’ barra hija mina u mhux talba tal-web.

Tliet modi onesti biex tibdel il-forma

Terminatur TLS bħal stunnel jaċċetta TLS fuq port f’kull tarf u jgħaddi l-fluss dekriptat lil OpenVPN b’mod lokali, għalhekk in-netwerk jara TLS lejn dak il-port. Protokoll li huwa TLS mill-ewwel byte iġib ruħu mod ieħor: l-iskambju kompatibbli ma’ AnyConnect li jimplimenta ocserv jixbah l-aċċess mill-bogħod korporattiv li ħafna netwerks diġà jistennew. SSTP, li jiġi ma’ Windows, għandu l-istess proprjetà fi prodott ieħor.

Fuq Linux, l-għażla -w ta’ SSH iġġorr konnessjoni punt-punt ġewwa sessjoni SSH, li hija utli meta SSH huwa l-uniku protokoll permess. Hija l-orħos mill-erbgħa jekk SSH diġà jaħdem minn dak in-netwerk, u l-anqas utli jekk ma jaħdimx.

X’ma jbiddel xejn minnhom

Xejn minn dawn ma jbiddel sa fejn il-mina tista’ tasal. Ma jagħmlux indirizz imblukkat aċċessibbli, ma jawtentikaw lil ħadd, u ma jiddeċiedux rotot.

Kisja tiswa wkoll komponent. Żewġ semmiegħa u żewġ fajls ta’ konfigurazzjoni jfissru żewġ postijiet għal falliment, u t-tnejn jidhru identiċi mis-sedil tal-utent. Ibbaġitja dan qabel ma tadotta waħda. Is-sessjoni tibqa’ fluss wieħed kriptat fit-tul lejn destinazzjoni waħda, u l-volum u l-ħin tagħha jibqgħu viżibbli.

Iddenja l-ewwel, imbagħad agħżel

Mela iddenja l-ewwel. UDP mitluq jiġi mwieġeb bil-modalità TCP, u firma rikonoxxuta tiġi mwieġba bi protokoll ieħor jew kisja. L-għażla ta’ għodda qabel ma tkun taf l-imblokk huwa l-mod kif in-nies jispiċċaw jaħdmu tliet saffi li kollha jonqsu għall-istess raġuni.

Netwerk li jippermetti biss portijiet tal-web idawwar l-għażla għal protokoll ibbażat fuq TLS fuq 443. L-applikazzjoni tat-tlieta flimkien tagħti munzell li ħadd ma jista’ jiddebjaġġja, għalhekk ibdel ħaġa waħda u erġa’ ttestja l-istess fluss.

Jekk xejn minnhom ma japplika, it-tweġiba preċiża hija li dan in-netwerk mhux se jġorr mina għalik. Dan huwa sejba u mhux falliment ta’ sforz. Id-dawran minn aktar għażliet ma jreġġax lura deċiżjoni ta’ politika meħuda fuq.

Konfini wieħed jinsab quddiem dan kollu. Il-permess li tħaddem mina fuq netwerk ta’ ħadd ieħor hija kwistjoni ta’ politika, deċiża b’mod separat minn jekk il-mekkaniżmu jaħdimx. Dawn il-fatti jispjegaw x’jara osservatur, u ma jagħtux permess.