VPN-oppdagelse avhenger av hvor du ser fra

To detektorer kan overvåke samme bruker og være uenige, begge med rette. En observatør ved tilkoblingslenken ser VPN-ens ytre samtale; nettstedet ser applikasjonstilkoblingen som kommer fra utgangen. Dette er forskjellige tilkoblinger med forskjellige fingeravtrykk, og bevis fra den ene overføres ikke til den andre. Å navngi observasjonspunktet før man diskuterer en hvilken som helst TLS- eller TCP-test er det som gjør påstanden meningsfull.

En detektor uten angitt observasjonspunkt beskriver en mening snarere enn en måling.

To observasjonspunkter, to forskjellige tilkoblinger

Den ytre samtalen tilhører tunnelprotokollen: egne meldingsformater, egen tilstandsmaskin, egen timing. Den indre tilkoblingen er nettleseren som åpner TLS mot nettstedet, båret gjennom tunnelen og deretter videresendt fra utgangen. Begge eksisterer i samme øyeblikk, og de er ikke den samme strømmen. Den ene er det et tilgangsnett kan se, den andre er det destinasjonen kan se, og en mellomliggende boks som avslutter en av dem endrer begge bildene.

Denne forskjellen forklarer det meste av forvirringen i diskusjoner om oppdagelse. En test som rapporterer én ting om en strøm, svarer ofte på et spørsmål om et annet lag enn operatøren hadde i tankene.

Hva observatøren på tilgangsveien ser

Ved tilkoblingslenken er det synlige materialet selve tunnelprotokollen: kontroll- og datapakketyper for OpenVPN, WireGuards faste håndtrykks- og datamønstre, eller hvilken som helst innpakning utrullingen legger til. Om en klassifikator kan identifisere dem avhenger av hva som er synlig, hvilken transport som bærer dem og om det finnes ekstra sløring. Et gjenkjennelig mønster er bevis om en strøm, og ikke bevis om identiteten eller intensjonen til personen bak den.

Port 443 er en konvensjon for å nå en tjeneste. Det gjør ikke enhver tunneltransport til HTTPS.

Hva nettstedet faktisk ser

Med en rutet tunnel kjører nettleseren fortsatt sin egen TLS-økt med nettstedet. Oversettelse ved utgangen gjør ikke VPN-gatewayen til nettleserens TLS-endepunkt, så ClientHello som nettstedet mottar beskriver nettleseren eller TLS-biblioteket dens. Et fingeravtrykk i JA3-stil karakteriserer derfor applikasjonstilkoblingen, ikke VPN-programvaren som bærer den. Bare en proxy som bevisst avslutter endrer denne ordningen, og den må identifiseres separat.

TCP-observasjoner krever samme omhu. Videresending, oversettelse og en proxy som starter en ny tilkobling er tre forskjellige design, og bare ett av dem skriver om transportstakken. Én uvanlig egenskap innebærer ikke entydig en tunnel.

Hold påstanden innenfor bevisene

Nettverksklassifisering, protokollobservasjon, applikasjonsfingeravtrykk og kontosignaler er input til en risikobeslutning, hver med falske positive, falske negative og manglende bevis. En adresse i et hostingområde beviser ingenting om en kommersiell VPN, og et vanlig nettleserfingeravtrykk beviser ingenting om en direkte. Når du vurderer en detektor, bruk et autorisert datasett med kjente stier og registrer hvilken observasjon som ga hvert resultat.

Hold protokollklassifisering atskilt fra en tilgangsbeslutning med konsekvenser. Et tilpasset svar eller et triks med feilformede pakker validerer ikke slutningen bak det; det legger bare press på en antakelse.

En nyttig rapport navngir observasjonen, observasjonspunktet og sikkerheten. En naken linje «VPN oppdaget» skjuler nettopp den delen som ville la noen kontrollere det.