Wykrywanie VPN zależy od tego, skąd obserwujesz

Dwa detektory mogą obserwować tego samego użytkownika i nie zgadzać się, oba słusznie. Obserwator przy łączu dostępowym widzi zewnętrzną rozmowę VPN; witryna widzi połączenie aplikacji przychodzące z wyjścia. To różne połączenia z różnymi odciskami, a dowody z jednego nie przenoszą się na drugie. Nazwanie punktu obserwacji przed omówieniem dowolnego testu TLS lub TCP jest tym, co czyni twierdzenie sensownym.

Detektor bez podanego punktu obserwacji opisuje opinię, a nie pomiar.

Dwa punkty obserwacji, dwa różne połączenia

Zewnętrzna rozmowa należy do protokołu tunelu: własne formaty komunikatów, własna maszyna stanów, własne czasy. Połączenie wewnętrzne to przeglądarka otwierająca TLS do witryny, przenoszone przez tunel, a następnie przekazywane z wyjścia. Oba istnieją w tym samym momencie i nie są tym samym strumieniem. Jedno jest tym, co może zobaczyć sieć dostępowa, drugie tym, co może zobaczyć cel, a urządzenie pośredniczące, które kończy którekolwiek z nich, zmienia oba obrazy.

Ta różnica wyjaśnia większość zamieszania w dyskusjach o wykrywaniu. Test, który zgłasza jedną rzecz o strumieniu, często odpowiada na pytanie o inną warstwę, niż operator miał na myśli.

Co widzi obserwator ścieżki dostępu

Przy łączu dostępowym widocznym materiałem jest sam protokół tunelu: typy pakietów sterowania i danych dla OpenVPN, stałe wzorce uścisku dłoni i danych WireGuard albo dowolne opakowanie dodawane przez wdrożenie. Czy klasyfikator potrafi je zidentyfikować, zależy od tego, co jest widoczne, który transport je niesie i czy występuje dodatkowe zaciemnianie. Rozpoznawalny wzorzec jest dowodem o strumieniu, a nie dowodem o tożsamości lub zamiarze osoby za nim.

Port 443 to konwencja dotarcia do usługi. Nie czyni on każdego transportu tunelowego HTTPS.

Co witryna naprawdę widzi

Przy trasowanym tunelu przeglądarka nadal prowadzi własną sesję TLS z witryną. Tłumaczenie na wyjściu nie czyni bramy VPN punktem końcowym TLS przeglądarki, więc ClientHello otrzymywany przez witrynę opisuje przeglądarkę lub jej bibliotekę TLS. Odcisk w stylu JA3 charakteryzuje zatem połączenie aplikacji, a nie oprogramowanie VPN, które je niesie. Tylko celowo kończące proxy zmienia ten układ i trzeba je zidentyfikować osobno.

Obserwacje TCP wymagają takiej samej staranności. Przekazywanie, tłumaczenie i proxy otwierające nowe połączenie to trzy różne projekty, a tylko jeden z nich przepisuje stos transportowy. Jedna nietypowa cecha nie oznacza jednoznacznie tunelu.

Trzymaj twierdzenie w granicach dowodów

Klasyfikacja sieci, obserwacja protokołów, odciski aplikacji i sygnały konta są danymi wejściowymi decyzji o ryzyku, każdy z fałszywymi dodatnimi, fałszywymi ujemnymi i brakującymi dowodami. Adres w zakresie hostingu niczego nie dowodzi o komercyjnym VPN, a pospolity odcisk przeglądarki niczego nie dowodzi o bezpośrednim. Oceniając detektor, użyj autoryzowanego zbioru danych ze znanymi ścieżkami i zapisz, która obserwacja dała każdy wynik.

Trzymaj klasyfikację protokołu osobno od decyzji o dostępie z konsekwencjami. Niestandardowa odpowiedź lub sztuczka z zniekształconym pakietem nie potwierdza wniosku za nią; wywiera jedynie nacisk na przypuszczenie.

Użyteczny raport nazywa obserwację, punkt obserwacji i pewność. Sama linia «wykryto VPN» ukrywa dokładnie tę część, która pozwoliłaby komuś to sprawdzić.