Detectarea VPN depinde de unde privești

Doi detectori pot observa același utilizator și pot fi în dezacord, amândoi corect. Observatorul de lângă legătura de acces vede conversația exterioară a VPN-ului; site-ul vede conexiunea aplicației care sosește din ieșire. Sunt conexiuni diferite cu amprente diferite, iar dovada uneia nu se transferă în cealaltă. Numirea punctului de observație înainte de a discuta orice test TLS sau TCP este ceea ce face afirmația semnificativă.

Un detector fără un punct de observație declarat descrie o opinie, nu o măsurătoare.

Două puncte de observație, două conexiuni diferite

Conversația exterioară aparține protocolului tunelului: propriile formate de mesaj, propria mașină de stări, propria temporizare. Conexiunea interioară este browserul care deschide TLS către site, purtată prin tunel și apoi redirecționată din ieșire. Ambele există în același moment și nu sunt același flux. Una este ceea ce poate vedea o rețea de acces, cealaltă este ceea ce poate vedea destinația, iar un echipament intermediar care termină oricare dintre ele schimbă ambele imagini.

Această diferență explică cea mai mare parte a confuziei din discuțiile despre detectare. Un test care raportează un lucru despre un flux răspunde adesea la o întrebare despre un alt strat decât cel pe care îl avea în minte operatorul.

Ce vede observatorul de pe calea de acces

Lângă legătura de acces, materialul vizibil este protocolul tunelului însuși: tipuri de pachete de control și de date pentru OpenVPN, modelele fixe de strângere de mână și de date ale WireGuard sau orice înveliș adăugat de implementare. Dacă un clasificator le poate identifica depinde de ce este vizibil, de ce transport le poartă și de existența unei ofuscări suplimentare. Un model recognoscibil este o dovadă despre un flux, și nu o dovadă despre identitatea sau intenția persoanei din spatele lui.

Portul 443 este o convenție pentru a ajunge la un serviciu. El nu transformă orice transport de tunel în HTTPS.

Ce vede de fapt site-ul

Cu un tunel rutat, browserul rulează în continuare propria sesiune TLS cu site-ul. Traducerea la ieșire nu transformă gateway-ul VPN în punctul final TLS al browserului, astfel încât ClientHello primit de site descrie browserul sau biblioteca sa TLS. O amprentă în stil JA3 caracterizează așadar conexiunea aplicației, nu software-ul VPN care o transportă. Doar un proxy care termină deliberat schimbă această aranjare, iar acesta trebuie identificat separat.

Observațiile TCP necesită aceeași grijă. Redirecționarea, traducerea și un proxy care deschide o conexiune nouă sunt trei proiecte diferite, și doar unul dintre ele rescrie stiva de transport. O singură caracteristică neobișnuită nu implică în mod unic un tunel.

Păstrează afirmația în interiorul dovezilor

Clasificarea rețelei, observarea protocoalelor, amprentele aplicațiilor și semnalele contului sunt intrări pentru o decizie de risc, fiecare cu pozitive false, negative false și dovezi lipsă. O adresă într-un interval de găzduire nu dovedește nimic despre un VPN comercial, iar o amprentă comună de browser nu dovedește nimic despre unul direct. Când evaluezi un detector, folosește un set de date autorizat cu căi cunoscute și notează ce observație a produs fiecare rezultat.

Păstrează clasificarea protocolului separată de o decizie de acces cu consecințe. Un răspuns personalizat sau un truc cu pachete malformate nu validează inferența din spatele lui; doar pune presiune pe o presupunere.

Un raport util numește observația, punctul de observație și încrederea. O linie simplă „VPN detectat” ascunde exact partea care i-ar permite cuiva să o verifice.