VPN-oppdaging avheng av kvar du ser frå

To detektorar kan overvake same brukar og vere usamde, begge med rette. Ein observatør ved tilkoplingslenkja ser den ytre samtalen til VPN-en; nettstaden ser applikasjonstilkoplinga som kjem frå utgangen. Dette er ulike tilkoplingar med ulike fingeravtrykk, og prov frå den eine vert ikkje overførte til den andre. Å namngje observasjonspunktet før ein diskuterer ein kvar TLS- eller TCP-test er det som gjer påstanden meiningsfull.

Ein detektor utan oppgjeve observasjonspunkt skildrar ei meining snarare enn ei måling.

To observasjonspunkt, to ulike tilkoplingar

Den ytre samtalen høyrer til tunnelprotokollen: eigne meldingsformat, eigen tilstandsmaskin, eigen timing. Den indre tilkoplinga er nettlesaren som opnar TLS mot nettstaden, boren gjennom tunnelen og deretter vidaresend frå utgangen. Begge finst i same augneblink, og dei er ikkje den same straumen. Den eine er det eit tilgangsnett kan sjå, den andre er det destinasjonen kan sjå, og ein mellomliggjande boks som avsluttar ein av dei endrar begge bileta.

Denne skilnaden forklarer det meste av forvirringa i diskusjonar om oppdaging. Ein test som rapporterer éin ting om ein straum, svarar ofte på eit spørsmål om eit anna lag enn operatøren hadde i tankane.

Kva observatøren på tilgangsvegen ser

Ved tilkoplingslenkja er det synlege materialet sjølve tunnelprotokollen: kontroll- og datapakkatypar for OpenVPN, dei faste handtrykks- og datamønstra til WireGuard, eller kva som helst innpakking utrullinga legg til. Om ein klassifikator kan identifisere dei, avheng av kva som er synleg, kva transport som ber dei og om det finst ekstra sløring. Eit gjenkjenneleg mønster er prov om ein straum, og ikkje prov om identiteten eller intensjonen til personen bak han.

Port 443 er ein konvensjon for å nå ei teneste. Det gjer ikkje kvar tunneltransport til HTTPS.

Kva nettstaden faktisk ser

Med ein ruta tunnel køyrer nettlesaren framleis si eiga TLS-økt med nettstaden. Omsetjing ved utgangen gjer ikkje VPN-gatewayen til TLS-endepunktet til nettlesaren, så ClientHello som nettstaden tek imot skildrar nettlesaren eller TLS-biblioteket hans. Eit fingeravtrykk i JA3-stil karakteriserer difor applikasjonstilkoplinga, ikkje VPN-programvara som ber henne. Berre ein proxy som med vilje avsluttar endrar denne ordninga, og han må identifiserast separat.

TCP-observasjonar krev same omhug. Vidaresending, omsetjing og ein proxy som startar ei ny tilkopling er tre ulike design, og berre eitt av dei skriv om transportstakken. Éin uvanleg eigenskap tyder ikkje eintydig på ein tunnel.

Hald påstanden innanfor prova

Nettverksklassifisering, protokollobservasjon, applikasjonsfingeravtrykk og kontosignal er inndata til ei risikobeslutning, kvar med falske positive, falske negative og manglande prov. Ei adresse i eit hostingområde provar ingenting om ein kommersiell VPN, og eit vanleg nettlesar-fingeravtrykk provar ingenting om ein direkte. Når du vurderer ein detektor, bruk eit autorisert datasett med kjende stiar og registrer kva observasjon som gav kvar resultat.

Hald protokollklassifisering skild frå ei tilgangsavgjerd med konsekvensar. Eit tilpassa svar eller eit triks med feilforma pakkar validerer ikkje slutninga bak det; det legg berre press på ei gissing.

Ein nyttig rapport namngjev observasjonen, observasjonspunktet og tryggleiken. Ei naken linje «VPN oppdaga» skjuler nettopp den delen som ville late nokon kontrollere det.