A deteção de VPN depende de onde estás a observar

Dois detetores podem observar o mesmo utilizador e discordar, ambos corretamente. O observador junto à ligação de acesso vê a conversa exterior da VPN; o site vê a ligação de aplicação que chega da saída. São ligações diferentes com impressões digitais diferentes, e a prova de uma não se transfere para a outra. Nomear o ponto de observação antes de discutir qualquer teste TLS ou TCP é o que torna a afirmação significativa.

Um detetor sem um ponto de observação declarado descreve uma opinião, não uma medição.

Dois pontos de observação, duas ligações diferentes

A conversa exterior pertence ao protocolo do túnel: os seus próprios formatos de mensagem, a sua própria máquina de estados, a sua própria temporização. A ligação interior é o navegador a abrir TLS para o site, transportada pelo túnel e depois reencaminhada da saída. Ambas existem no mesmo momento e não são o mesmo fluxo. Uma é o que uma rede de acesso pode ver, a outra é o que o destino pode ver, e um equipamento intermédio que termine qualquer das duas altera as duas imagens.

Essa diferença explica a maior parte da confusão nas discussões sobre deteção. Um teste que relata uma coisa sobre um fluxo responde frequentemente a uma pergunta sobre uma camada diferente da que o operador tinha em mente.

O que o observador do caminho de acesso vê

Junto à ligação de acesso, o material visível é o próprio protocolo do túnel: tipos de pacotes de controlo e de dados para OpenVPN, os padrões fixos de aperto de mão e de dados do WireGuard, ou qualquer invólucro que a implementação acrescente. Se um classificador os consegue identificar depende do que é visível, do transporte que os leva e de haver ofuscação adicional. Um padrão reconhecível é prova sobre um fluxo, e não prova sobre a identidade ou a intenção da pessoa por trás dele.

A porta 443 é uma convenção para chegar a um serviço. Não transforma todo o transporte de túnel em HTTPS.

O que o site vê realmente

Com um túnel encaminhado, o navegador continua a executar a sua própria sessão TLS com o site. A tradução na saída não transforma a gateway VPN no ponto final TLS do navegador, por isso o ClientHello que o site recebe descreve o navegador ou a sua biblioteca TLS. Uma impressão digital ao estilo JA3 caracteriza, portanto, a ligação de aplicação, não o software VPN que a transporta. Apenas um proxy que termina deliberadamente altera essa disposição, e tem de ser identificado em separado.

As observações TCP exigem o mesmo cuidado. O reencaminhamento, a tradução e um proxy que origina uma nova ligação são três desenhos diferentes, e só um deles reescreve a pilha de transporte. Uma única característica invulgar não implica de forma única um túnel.

Mantém a afirmação dentro da prova

A classificação de rede, a observação de protocolos, as impressões digitais de aplicações e os sinais de conta são entradas para uma decisão de risco, cada uma com falsos positivos, falsos negativos e provas em falta. Um endereço numa faixa de alojamento não prova nada sobre uma VPN comercial, e uma impressão digital de navegador comum não prova nada sobre uma direta. Ao avaliar um detetor, usa um conjunto de dados autorizado com caminhos conhecidos e registra que observação produziu cada resultado.

Mantém a classificação de protocolo separada de uma decisão de acesso com consequências. Uma resposta personalizada ou um truque de pacote malformado não valida a inferência por trás dela; apenas pressiona uma conjectura.

Um relatório útil nomeia a observação, o ponto de observação e a confiança. Uma linha nua de «VPN detetada» esconde exatamente a parte que permitiria a alguém verificá-la.