VPN-detectie hangt af van waar je meekijkt

Twee detectoren kunnen dezelfde gebruiker observeren en het oneens zijn, beide terecht. Een waarnemer naast de toegangslink ziet het buitenste gesprek van de VPN; de website ziet de applicatieverbinding die van de uitgang komt. Dat zijn verschillende verbindingen met verschillende vingerafdrukken, en bewijs van de ene gaat niet over naar de andere. Het observatiepunt benoemen voordat je een TLS- of TCP-test bespreekt, is wat de bewering betekenisvol maakt.

Een detector zonder genoemd observatiepunt beschrijft een mening, geen meting.

Twee observatiepunten, twee verschillende verbindingen

Het buitenste gesprek hoort bij het tunnelprotocol: eigen berichtformaten, eigen toestandsmachine, eigen timing. De binnenste verbinding is de browser die TLS naar de website opent, door de tunnel gedragen en vervolgens vanaf de uitgang doorgestuurd. Beide bestaan op hetzelfde moment en het is niet dezelfde stroom. Het ene is wat een toegangsnetwerk kan zien, het andere wat de bestemming kan zien, en een tussenbox die een van beide beëindigt, verandert beide beelden.

Dat verschil verklaart het grootste deel van de verwarring in detectiediscussies. Een test die één ding over een stroom rapporteert, beantwoordt vaak een vraag over een andere laag dan de operator voor ogen had.

Wat de waarnemer op het toegangspad ziet

Naast de toegangslink is het zichtbare materiaal het tunnelprotocol zelf: controle- en datapakkettypen voor OpenVPN, de vaste handshake- en datapatronen van WireGuard, of welke omhulling de uitrol ook toevoegt. Of een classificator ze kan identificeren hangt af van wat zichtbaar is, welk transport ze draagt en of er extra obfuscatie is. Een herkenbaar patroon is bewijs over een stroom, en geen bewijs over de identiteit of intentie van de persoon erachter.

Poort 443 is een conventie om een dienst te bereiken. Het maakt niet elk tunneltransport HTTPS.

Wat de website werkelijk ziet

Met een gerouteerde tunnel voert de browser nog steeds zijn eigen TLS-sessie met de site. Vertaling bij de uitgang maakt de VPN-gateway niet het TLS-eindpunt van de browser, dus de ClientHello die de site ontvangt beschrijft de browser of zijn TLS-bibliotheek. Een vingerafdruk in JA3-stijl kenmerkt daarom de applicatieverbinding, niet de VPN-software die deze draagt. Alleen een bewust beëindigende proxy verandert die opstelling, en die moet afzonderlijk worden geïdentificeerd.

TCP-waarnemingen vereisen dezelfde zorg. Doorsturen, vertalen en een proxy die een nieuwe verbinding opent zijn drie verschillende ontwerpen, en slechts één daarvan herschrijft de transportstack. Eén ongebruikelijk kenmerk impliceert niet eenduidig een tunnel.

Houd de bewering binnen het bewijs

Netwerkclassificatie, protocolobservatie, applicatievingerafdrukken en accountsignalen zijn invoer voor een risicobeslissing, elk met valse positieven, valse negatieven en ontbrekend bewijs. Een adres in een hostingbereik bewijst niets over een commerciële VPN, en een gangbare browservingerafdruk bewijst niets over een directe. Wanneer je een detector evalueert, gebruik een geautoriseerde dataset met bekende paden en leg vast welke observatie elk resultaat opleverde.

Houd protocolclassificatie gescheiden van een toegangsbeslissing met gevolgen. Een aangepast antwoord of een truc met misvormde pakketten valideert de gevolgtrekking erachter niet; het zet alleen druk op een vermoeden.

Een bruikbaar rapport noemt de observatie, het observatiepunt en het vertrouwen. Een kale regel «VPN gedetecteerd» verbergt precies het deel waarmee iemand het zou kunnen controleren.