Kva det lokale nettet framleis ser gjennom VPN-en din

Tre observatørar smeltar saman til eitt spørsmål kvar gong nokon spør om ein VPN skjuler trafikken deira: nettet dei er kopla til, maskina i hendene deira og operatøren av tunnelen. Kvar av dei lærer noko ulikt, og tunnelen endrar kvar av desse syna på ein annan måte. Det hjelper å arbeide i motsett retning og starte frå påstanden som blir sett fram, for påstanden er det som må tole gransking. Avgjer kva påstand du treng, og samanlikn deretter verktøy med han.

Fyrste påstand: ingen kan lese trafikken

Byrj med den trongaste påstanden: nyttelasta blir verande uleseleg. Ein passiv observatør på vegen kan ikkje sjå inn i ein TLS-økt, så tunnelen tilfører lite til ein nettstad som alt brukar HTTPS, og han tilfører ingenting mot dei to endepunkta. Parten som bryt denne påstanden, er den som styrer eininga, fordi ein inspeksjonsproxy avsluttar sambandet og signerer det på nytt med ei rot som maskina alt stolar på. Difor blir hengelåsen framleis vist medan sertifikatkjeda ber namnet på organisasjonen som installerte rota.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

På macOS skriv den pipelinen ut éi subjektlinje for kvart sertifikat i nøkkelringen til maskina, utan å opne eit vindauge, og på Windows listar certutil -store Root opp same lageret som certlm.msc viser grafisk. Ei rot som høyrer til ein skule, ein arbeidsgivar eller eit nettverkssikkerheitsprodukt, er oppføringa du skal leite etter. Å finne éi beviser berre at avlytting er mogleg, ikkje at ho skjer.

Kva du kan gjere med det, er eit spørsmål om policy og ikkje om teknikk. Å fjerne ein profil eller ei inspeksjonsrot frå maskinvare du ikkje eig, bryt normalt avtalen om akseptabel bruk, og styringssystemet har ein tendens til å oppdage det og bruke det på nytt, så kravet om at eigaren av eininga ikkje skal lese trafikken din, krev ei anna eining og ikkje ei anna innstilling.

Andre påstand: ingen ser kvar du går

Destinasjonen er den vanskelegare påstanden, fordi to avsløringar skjer før ei side blir lasta. Eit oppslag går til den resolvaren som systemet er konfigurert til å bruke, og svaret er synleg for nettet som ber det. Deretter ber TLS-handtrykket det etterspurde servernamnet i klartekst, med mindre Encrypted Client Hello er støtta i begge endar. Ingen av avsløringane inneber dekryptering, så tunnelen har ingen effekt på nokon av dei.

resolvectl status | grep -A2 "Link"
nslookup example.com

Kva resolvar som faktisk blir brukt, avgjer eksponeringa, og det kan målast i staden for å diskuterast. På Linux skriv resolvectl status ut DNS-tenarane per kopling, og utdataa fortel deg om det er resolvaren til nettstaden eller den påtvinga som svarar. Windows svarar på same spørsmål med nslookup example.com, der den fyrste blokka med utdata er DNS-tenaren som svara.

Når laptoppen spør resolvaren til nettstaden før tunnelen kjem opp, eller profilen kjem utan ein erstatningstenar slik at den gamle blir verande i bruk, samlar administratoren framleis inn vertsnamn utan å dekryptere noko. Kryptert DNS i nettlesaren omgår anten den påtvinga resolvaren eller blir blokkert heilt og feilar lukka. Utgangsoperatøren ser dei same namna frå si side. Å byte resolvar flyttar derfor ikkje den avsløringa bort frå tunnelleverandøren.

Tredje påstand: ingen veit at du kopla til

Den tredje påstanden er den ein tunnel ikkje kan støtte, fordi pakka framleis kryssar det lokale nettet. Det nettet lærer endepunktadressa, omtrentleg volum, tidspunktet og at det finst éi langvarig kryptert økt, noko som er nok til å blokkere, avgrense eller berre leggje merke til. Ein brannmur som ikkje kan lese ei pakke, kan framleis nekte å sleppe ho gjennom. Å bli overvaka er ikkje det same som å bli overvaka av ingen: du flytta observatøren, du sletta han ikkje.

Delt tunnellering og kvar applikasjon som ignorerer den påtvinga ruta skapar straumar utanfor tunnelen som ser nøyaktig ut som før. Det er dei straumane ein grundig observatør legg merke til fyrst, og rutetabellen til klienten viser kva destinasjonar som er utelatne.

Operatøren i den andre enden har spegelbiletet av det synet: utgangsadresse, tidspunkt, volum og vanlegvis namna på nettstadane. Leverandøren din blir parten med utsiktspunktet, noko som er ein annan handel enn usynlegheit. Å velje ein leverandør du stolar på er ei reell avgjerd; å kalle resultatet uovervaka er det ikkje.

Avgjer kva påstand du treng

Skriv kravet på éi linje før du rører ein klient: skjul innhaldet, skjul destinasjonane eller skjul om du i det heile kopla til. Innhald blir alt handsama av HTTPS saman med tunnelen, medan destinasjonar krev ein resolvar og ei rute som heilt omgår utstyret til nettstaden.

Det tredje kravet er det ubehagelege, fordi noko framleis er synleg tilkopla ein stad, kryptert eller ikkje. Inga klientinnstilling endrar det. Viss kravet og policyen dreg frå kvarandre, høyrer det gapet heime i ein samtale med den som eig policyen, ikkje i eit klientval. Personen som kan svare på det, er den som skreiv policyen.