Co firmowy firewall może, a czego nie może zobaczyć wewnątrz VPN

Ten sam laptop łączy się z VPN z domu, a z biura nie może, więc ktoś musi czytać ruch. Blokowanie i czytanie to odrębne uprawnienia, a tylko drugie wymaga miejsca na ścieżce oraz certyfikatu, któremu klient ufa. Urządzenie pośredniczące, które odrzuca twój handshake, nie dowiedziało się nic o tym, co byś wysłał. Rozstrzygnięcie, z którym z dwóch masz do czynienia, to cała robota.

Blokowanie i czytanie to różne uprawnienia

Odmowa jest tania i głośna: gniazdo się otwiera i nic nie odpowiada, albo od razu przychodzi reset. Nic z tego nie oznacza inspekcji, bo żaden ładunek nie przeszedł przez przewód.

Czytanie wymaga punktu końcowego, który kończy ochronę, potwierdza się certyfikatem i otwiera nowe połączenie dalej. Ten punkt musi leżeć na ścieżce i być zaufany przez klienta. Firewall, który tylko przekazuje pakiety, nie ma ani pozycji, ani poświadczenia.

Co opakowanie oddaje za darmo

Każdy pakiet tunelu ma zewnętrzną stronę, a zewnętrzna musi być routowalna. To znaczy dwa adresy, protokół, port i długość oraz czas i objętość. Każdy router już obsługuje te pola, a NAT przepisuje adres i port, aby jego tablica mapowania pozostała spójna. Ładunek pozostaje zapieczętowany, więc obserwacja zatrzymuje się na fakcie, że między dwoma hostami istnieje tunel.

Nazwa hosta nie jest wśród nich. Strony wyciekają innymi drzwiami, a najszersze są DNS: jeśli laptop nadal pyta lokalny resolver, nazwy pojawiają się jawnie.

Czas i objętość zasługują na szacunek bez przesady. Bajtów na minutę mogą pokazać, że duży transfer zaczyna się o 14:20; nie pokażą, który plik się przesunął. To realne ujawnienie zachowania i inna kategoria niż czytanie treści.

Przechwytywanie TLS wymaga korzenia, któremu już ufasz

Urządzenie inspekcyjne nie łamie TLS; ono je kończy. Klientowi odpowiada certyfikat z korzenia, który należy do organizacji, a drugie połączenie idzie do prawdziwego celu. Klient to akceptuje, bo ten korzeń leży w jego magazynie zaufania, dlatego zarządzany laptop nie pokazuje ostrzeżenia. Kryptografia nigdy nie została pokonana; przesunięto punkt końcowy.

Dlatego ten układ zostawia dowody. Wystawca na przedstawionym łańcuchu należy do organizacji, a nie do publicznego CA, i klient widzi to bez specjalnych narzędzi. Łańcuch kończący się w wewnętrznym korzeniu jest podpisem przechwytywania, nie awarią.

Dlaczego kanał VPN nie jest sesją HTTPS

Kanał danych VPN nie daje inspektorowi takiego oparcia. IKEv2 i WireGuard prowadzą własne handshake’i i harmonogramy kluczy, bez TLS do zakończenia, podczas gdy OpenVPN pożycza TLS do swojego kanału sterowania w zmienionej formie, zanim ochroni dane po swojemu. Proxy zbudowane pod HTTPS nie rozpoznaje tej sesji jako czegoś, co potrafi sparsować.

Urządzenie, które nie potrafi sparsować sesji, wciąż może ją odrzucić. Dlatego blokowanie VPN wygląda zwykle jak przekroczenie czasu, a nie ostrzeżenie o certyfikacie, i dlatego wyjątek niczego nie zmienia.

Sprawdź to z własnej maszyny

Zacznij od łańcucha, który przedstawia strona. Szczegóły strony w przeglądarce pokazują wystawcę, a wiersz poleceń zgłasza to samo bez podsumowania:

openssl s_client -connect example.com:443 -servername example.com

Następnie oddziel odrzucony handshake od filtrowanego ruchu wewnętrznego licznikami. Zaloguj port transportowy przed każdą regułą odrzucania i odczytaj je po próbie:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Brak wiersza logu na zewnętrznym gnieździe oznacza, że handshake nigdy nie wyszedł, więc ścieżka odrzuca tunel. Zakończony handshake, przy którym zawodzi tylko część celów, oznacza, że tunel działa, a polityka w środku nie. Żaden wynik nie wymagał przeczytania bajtu ładunku.

Czytanie, które naprawdę się odbywa, siedzi na brzegach: tunel dzielony oddaje wewnętrzny HTTPS firmowemu proxy, a koncentrator należący do pracodawcy odsłania wszystko na wyjściu. Cokolwiek znajdziesz, nie wyłączaj weryfikacji certyfikatów, aby wymusić połączenie, bo ta kontrola jest jedyną rzeczą, która oddziela inspekcję od atakującego.