Hva det lokale nettverket fortsatt ser gjennom VPN-en din

Tre observatører smelter sammen til ett spørsmål hver gang noen spør om en VPN skjuler trafikken deres: nettverket de er koblet til, maskinen i hendene deres og operatøren av tunnelen. Hver av dem lærer noe forskjellig, og tunnelen endrer hvert av disse synene på en annen måte. Det hjelper å arbeide i motsatt retning og starte fra påstanden som fremsettes, for påstanden er det som må tåle gransking. Bestem hvilken påstand du trenger, og sammenlign deretter verktøy med den.

Første påstand: ingen kan lese trafikken

Begynn med den snevreste påstanden: nyttelasten forblir uleselig. En passiv observatør på veien kan ikke se inn i en TLS-økt, så tunnelen tilfører lite til et nettsted som allerede bruker HTTPS, og den tilfører ingenting mot de to endepunktene. Parten som bryter denne påstanden, er den som kontrollerer enheten, fordi en inspeksjonsproxy avslutter forbindelsen og signerer den på nytt med en rot som maskinen allerede stoler på. Derfor vises hengelåsen fortsatt mens sertifikatkjeden bærer navnet på organisasjonen som installerte roten.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

På macOS skriver den pipelinen ut én subjektlinje for hvert sertifikat i maskinens nøkkelring, uten å åpne et vindu, og på Windows lister certutil -store Root opp samme lager som certlm.msc viser grafisk. En rot som tilhører en skole, en arbeidsgiver eller et nettverkssikkerhetsprodukt, er oppføringen du skal lete etter. Å finne én beviser bare at avlytting er mulig, ikke at den skjer.

Hva du kan gjøre med det, er et spørsmål om policy og ikke om teknikk. Å fjerne en profil eller en inspeksjonsrot fra maskinvare du ikke eier, bryter normalt avtalen om akseptabel bruk, og administrasjonssystemet har en tendens til å oppdage det og bruke det på nytt, så kravet om at enhetens eier ikke skal lese trafikken din, krever en annen enhet og ikke en annen innstilling.

Andre påstand: ingen ser hvor du går

Destinasjonen er den vanskeligere påstanden, fordi to avsløringer skjer før en side lastes. Et oppslag går til den resolveren som systemet er konfigurert til å bruke, og svaret er synlig for nettverket som bærer det. Deretter bærer TLS-håndtrykket det etterspurte servernavnet i klartekst, med mindre Encrypted Client Hello støttes i begge ender. Ingen av avsløringene innebærer dekryptering, så tunnelen har ingen effekt på noen av dem.

resolvectl status | grep -A2 "Link"
nslookup example.com

Hvilken resolver som faktisk brukes, avgjør eksponeringen, og det kan måles i stedet for å diskuteres. På Linux skriver resolvectl status ut DNS-serverne per kobling, og utdataene forteller deg om det er nettstedets resolver eller den påtvungne som svarer. Windows svarer på samme spørsmål med nslookup example.com, der første blokk med utdata er DNS-serveren som svarte.

Når laptopen spør nettstedets resolver før tunnelen kommer opp, eller profilen ankommer uten en erstatningsserver slik at den gamle forblir i bruk, samler administratoren fortsatt inn vertsnavn uten å dekryptere noe. Kryptert DNS i nettleseren omgår enten den påtvungne resolveren eller blir blokkert helt og feiler lukket. Utgangsoperatøren ser de samme navnene fra sin side. Å bytte resolver flytter derfor ikke den avsløringen bort fra tunnelleverandøren.

Tredje påstand: ingen vet at du koblet til

Den tredje påstanden er den en tunnel ikke kan støtte, fordi pakkene fortsatt krysser det lokale nettverket. Det nettverket lærer endepunktadressen, omtrentlig volum, tidspunktet og at det finnes én langvarig kryptert økt, noe som er nok til å blokkere, begrense eller bare legge merke til. En brannmur som ikke kan lese en pakke, kan fortsatt nekte å slippe den gjennom. Å bli overvåket er ikke det samme som å bli overvåket av ingen: du flyttet observatøren, du slettet den ikke.

Delt tunnellering og enhver applikasjon som ignorerer den påtvungne ruten skaper strømmer utenfor tunnelen som ser nøyaktig ut som før. Det er de strømmene en grundig observatør legger merke til først, og klientens rutetabell viser hvilke destinasjoner som er utelatt.

Operatøren i den andre enden har speilbildet av det synet: utgangsadresse, tidspunkt, volum og vanligvis navnene på nettstedene. Leverandøren din blir parten med utsiktspunktet, noe som er en annen handel enn usynlighet. Å velge en leverandør du stoler på er en reell beslutning; å kalle resultatet uovervåket er det ikke.

Bestem hvilken påstand du trenger

Skriv kravet på én linje før du rører en klient: skjul innholdet, skjul destinasjonene eller skjul om du i det hele tatt koblet til. Innhold håndteres allerede av HTTPS sammen med tunnelen, mens destinasjoner krever en resolver og en rute som helt omgår nettstedets utstyr.

Det tredje kravet er det ubehagelige, fordi noe fortsatt er synlig tilkoblet et sted, kryptert eller ikke. Ingen klientinnstilling endrer det. Hvis kravet og policyen trekker fra hverandre, hører det gapet hjemme i en samtale med den som eier policyen, ikke i et klientvalg. Personen som kan svare på det, er den som skrev policyen.