Kvifor ei scramble-linje i ein .ovpn-profil krev ein patcha klient

Ein profil med ei scramble-linje blir importert i den offisielle klienten og feilar deretter ved handtrykket, eller blir importert med linja stille forkasta og koplar til ingenting. Direktivet høyrer til eit patcha bygg av OpenVPN i staden for det opphavlege funksjonssettet, så ein klient som ikkje ber den patchen kan ikkje snakke den resulterande protokollen. Å leggje linja til ein vanleg profil legg ikkje til implementasjonen. Kompatibilitet må finnast i begge endar før fila betyr noko.

Handter det først som eit protokollspørsmål og deretter som eit app-butikkspørsmål.

Valet er eit wire-format, ikkje ei preferanse

Scramble-patchen endrar korleis pakkane i tunnelen ser ut på wire, vanlegvis ved å XOR-e nyttelasta med ein delt verdi. Det endrar byta begge partar må produsere og akseptere, noko som gjer det til ein formatavtale i staden for ei lokal innstilling. Brukar den eine sida transformasjonen og den andre ikkje, gir det ein sesjon som autentiserer og deretter ikkje ber noko brukbart. Innstillinga er berre meiningsfull når begge endar køyrer same patcha åtferd.

To produkt kan begge annonsere obfuskering og likevel implementere inkompatible transformasjonar. Namnet i ei meny er ikkje ein spesifikasjon; det faktiske bygget til operatøren er det.

Import av fila er ikkje kompatibilitet

Klientar er ulike i kva dei gjer med eit ukjent direktiv. Nokre avviser profilen heilt, nokre åtvarar og held fram, og nokre forkastar linja og koplar til med eit vanleg handtrykk. Det siste tilfellet er det farlege, fordi tunnelen kan etablerast mot ein server som aksepterer begge og deretter berre feile på trafikken. Ein vellukka import beviser derfor at parsaren tolererte linja, ikkje at sambandet vil verke.

Test med den klienten og det bygget som utrullinga faktisk krev, mot den serveren som operatøren faktisk køyrer.

APK-en er ei avgjerd om forsyningskjeda

Eit patcha Android-bygg finst fordi nokon kompilerte det, og eksistensen seier ingenting om kven som vedlikeheld det no. Før godkjenning av eitt bør eigaren av utrullinga gå gjennom kjeldeversjonen det kom frå, korleis patchen vart brukt, signeringsidentiteten og oppdateringsvegen. Ein VPN-applikasjon handterer legitimasjon og all dekt trafikk, så ei uvedkommande nedlastingsside er ikkje ei akseptabel distribusjonsmyndigheit.

Spør tenestoperatøren om den støtta klientkombinasjonen og den noverande installasjonskanalen. Viss den kanalen ikkje finst lenger, har utrullinga eit vedlikehandsproblem som ein gammal binærfil ikkje løyser.

Obfuskering er ikkje kryptering eller skjul

Å endre det synlege formatet på pakkane erstattar ikkje kryptering, og det garanterer ikkje at eit nettverk ikkje kan klassifisere sambandet. Timing, omdømet til endepunktet og trafikken rundt ber framleis informasjon. Hald på serveridentitetskontrollane som profilen er avhengig av, som til dømes sertifikatverifisering mot det forventa namnet, sjølv når poenget med det ekstra laget er å endre utsjånaden.

Ikkje erstatt tls-crypt eller ei proxyinnstilling med patchen og kall det ekvivalent. Kvar av dei endrar ein annan del av sambandet.

Be om eit vedlikehalde par

Resultatet som er verdt å ha, er to endar som er vedlikehaldne og eksplisitt kompatible, med ein dokumentert oppdateringsveg på kvar side. Viss eit slikt par ikkje finst, vurder ein støtta servertransport eller eit anna tilgangsdesign i staden for å halde ein privilegert gammal applikasjon i live. Den avgjerda høyrer til tenesteeigaren, ikkje den som fann APK-en.

Ein fungerande scramble-avkrysningsboks på klienten er ein lokal kapasitetsobservasjon. Han seier ingenting om serveren før ein ekte sesjon ber trafikk.