Detekcia VPN závisí od toho, odkiaľ sa pozeráte

Dva detektory môžu sledovať toho istého používateľa a nesúhlasiť, oba správne. Pozorovateľ pri prístupovom spoji vidí vonkajšiu konverzáciu VPN; lokalita vidí aplikačné spojenie prichádzajúce z výstupu. Sú to rôzne spojenia s rôznymi odtlačkami a dôkaz z jedného sa na druhé neprenáša. Pomenovať pozorovací bod pred diskusiou o akomkoľvek teste TLS alebo TCP je to, čo tvrdenie robí zmysluplným.

Detektor bez uvedeného pozorovacieho bodu opisuje názor, nie meranie.

Dva pozorovacie body, dve rôzne spojenia

Vonkajšia konverzácia patrí tunelovému protokolu: vlastné formáty správ, vlastný stavový stroj, vlastné časovanie. Vnútorné spojenie je prehliadač otvárajúci TLS k lokalite, nesený tunelom a potom odovzdávaný z výstupu. Obe existujú v tom istom okamihu a nie sú tým istým tokom. Jedno je to, čo môže vidieť prístupová sieť, druhé to, čo môže vidieť cieľ, a medziľahlé zariadenie, ktoré ukončí ktorékoľvek z nich, mení oba obrazy.

Tento rozdiel vysvetľuje väčšinu zmätku v diskusiách o detekcii. Test, ktorý o toku hlási jednu vec, často odpovedá na otázku o inej vrstve, než mal operátor na mysli.

Čo vidí pozorovateľ na prístupovej ceste

Pri prístupovom spoji je viditeľným materiálom samotný tunelový protokol: typy riadiacich a dátových paketov pre OpenVPN, pevné vzory handshake a dát WireGuardu alebo akýkoľvek obal, ktorý nasadenie pridá. Či ich klasifikátor dokáže identifikovať, závisí od toho, čo je viditeľné, ktorý transport ich nesie a či je prítomné dodatočné zastieranie. Rozpoznateľný vzor je dôkazom o toku, nie dôkazom o identite či zámere človeka za ním.

Port 443 je konvencia na dosiahnutie služby. Nerobí z každého tunelového transportu HTTPS.

Čo lokalita skutočne vidí

Pri smerovanom tuneli prehliadač stále vedie vlastnú reláciu TLS s lokalitou. Preklad na výstupe nepremení VPN bránu na koncový bod TLS prehliadača, takže ClientHello, ktorý lokalita dostane, opisuje prehliadač alebo jeho knižnicu TLS. Odtlačok v štýle JA3 preto charakterizuje aplikačné spojenie, nie VPN softvér, ktorý ho nesie. Len zámerne ukončujúca proxy túto úpravu mení a musí byť identifikovaná samostatne.

TCP pozorovania si vyžadujú rovnakú starostlivosť. Preposielanie, preklad a proxy, ktorá otvára nové spojenie, sú tri rôzne návrhy a len jeden z nich prepisuje transportný zásobník. Jedna neobvyklá vlastnosť sama o sebe tunel neznamená.

Držte tvrdenie vnútri dôkazov

Sieťová klasifikácia, pozorovanie protokolov, aplikačné odtlačky a signály účtu sú vstupy pre rozhodnutie o riziku, každý s falošnými pozitívmi, falošnými negatívmi a chýbajúcimi dôkazmi. Adresa v hostovacom rozsahu nič nedokazuje o komerčnej VPN a bežný odtlačok prehliadača nič nedokazuje o priamej. Pri hodnotení detektora použite autorizovanú dátovú sadu so známymi cestami a zaznamenajte, ktoré pozorovanie dalo každý výsledok.

Držte klasifikáciu protokolu oddelene od rozhodnutia o prístupe s následkami. Vlastná odpoveď alebo trik s deformovaným paketom nepotvrdzuje úsudok za ním; len vyvíja tlak na domnienku.

Užitočná správa pomenuje pozorovanie, pozorovací bod a mieru istoty. Holý riadok „VPN zistené“ skrýva práve tú časť, ktorá by niekomu umožnila to overiť.