Prečo prevádzka bezdrôtového ladenia nie je dôkazom úniku VPN

Zapli ste bezdrôtové ladenie, pripojili notebook a relácia fungovala ďalej, kým bola VPN aktívna. Vyzerá to, akoby niečo prekĺzlo okolo tunela. Takmer určite nie. Relácia ladenia a požiadavka aplikácie na webovú stránku sú rôzne sieťové vzťahy a tunel má prekročiť len jeden z nich.

Na toto nesprávne čítanie som narazil dvakrát: raz, keď boli telefón a notebook v tej istej Wi-Fi, a raz po reštarte, keď párovanie prežilo. V oboch prípadoch VPN robila presne to, na čo bola nastavená.

Pomenujte pozorovanie skôr, než pomenujete chybu

Pred tvrdením o úniku môžu nastať tri udalosti a nie sú zameniteľné. Nástroj môže objaviť službu, zariadenie môže schváliť pracovnú stanicu alebo autorizovaná relácia môže skutočne prenášať príkazy a bajty. Zapíšte, ktorú ste videli, pretože každá dokazuje menej, než ľudia predpokladajú.

Objavenie je zvyčajne mDNS alebo skenovanie portov. Párovanie je rozhodnutie o registrácii prijaté na telefóne, potvrdené kódom, ktorý používateľ zadá. Živá relácia znamená, že prevádzka prešla medzi dvoma spárovanými koncovými bodmi. Nič z toho neopisuje, kam ide HTTPS požiadavka aplikácie.

Držte cieľ, rozhranie, rodinu adries, časovú pečiatku a používateľský profil pripojené k udalosti. Bez týchto podrobností nemožno pozorovanie porovnať so zamýšľanou politikou lokálnej siete ani s verziou VPN, ktorá vtedy bežala.

Prečo sa obe cesty nikdy nestretnú

Bezdrôtové ladenie je prichádzajúce pripojenie k zariadeniu. adbd počúva na porte naviazanom na rozhranie Wi-Fi a pracovná stanica sa k nemu po spárovaní pripojí. Smer je dôležitý: váš notebook dosiahne do telefónu, nie naopak. To je opak výstupného úniku.

Internetová prevádzka aplikácie vychádza cez tunelové rozhranie, ktoré inštaluje VpnService, spárované podľa UID a pravidiel smerovania. adbd je systémový démon bežiaci ako používateľ shell, nie aplikácia v tejto smerovacej množine. Zostáva na podkladovom Wi-Fi spojení, aj keď je každá aplikácia pripnutá k tunelu.

Režim uzamknutia vynucuje tunel pre pokryté aplikácie. Nepremieňa počúvajúci socket na výstupnú cestu.

Preto fungujúca relácia ADB a fungujúci vypínač existujú vedľa seba bez rozporu. Aby ste dokázali únik, musíte pozorovať smer, ktorý má byť zablokovaný.

Ako výstupný test skutočne vyzerá

Testujte pokrytú aplikáciu, nie ladiaci kanál. Zámerne nastavte podmienku zlyhania, potom odošlite jednu novú požiadavku a zaznamenajte, čo sa stalo.

1. Potvrďte, že VPN je jediná cesta: zapnite trvalo zapnutú VPN s blokovaním pripojení bez VPN.
2. Zastavte VPN podporovaným spôsobom a potvrďte, že aplikácia hlási žiadne pripojenie.
3. Odošlite jednu neškodnú požiadavku z tej aplikácie a poznamenajte, či zlyhá alebo uspeje.
4. Zopakujte so zapnutým a potom vypnutým bezdrôtovým ladením, aby sa premenná izolovala.

Blokovaná požiadavka v týchto podmienkach je dôkaz. Úspešná relácia ADB nie je, rovnako ani jeden ping z terminálovej aplikácie.

Ak požiadavka napriek tomu uspeje, kým je uzamknutie zapnuté, zaznamenajte UID aplikácie a jej povolenie VPN, aktívnu sieť a verziu klienta. Taká kombinácia je skutočný nález.

Párovanie prežíva reláciu

Párovanie je trvalý stav, nie podanie ruky, na ktoré sa dá po káblovom teste zabudnúť. Dokumentácia Androidu k ladeniu opisuje bezdrôtový postup a uvádza, že vzťah trvá, kým sa naň výslovne nezabudne alebo kým sa povolenia neodvolajú.

Pred obvinením tunela skontrolujte, čo je ešte autorizované. Otvorte Bezdrôtové ladenie, pozrite sa na Spárované zariadenia a zabudnite všetko, čo už nepoznáte. Spustite adb devices z pracovnej stanice, aby ste videli, ktoré záznamy ešte odpovedajú, a adb disconnect na zrušenie zastaraného. Vypnutie bezdrôtového ladenia úplne zatvorí počúvajúci port.

V zdieľanej alebo nedôveryhodnej sieti ho nechajte vypnuté. Trvalá autorizácia v sieti, ktorú nekontrolujete, je väčší problém než hypotetické obídenie TUN.

Pred nahlásením tej chyby

Užitočná správa pomenuje presnú hranicu, ktorá zlyhala. Uveďte model zariadenia a verziu Androidu, klienta VPN a verziu, či bolo uzamknutie zapnuté, balík aplikácie a UID a sieť, v ktorej bol telefón. Pridajte príkaz alebo požiadavku, ktorá pozorovanie vyvolala, a čas, kedy sa to stalo. Bez toho nikto nemôže reprodukovať hranicu, ktorú označujete za pokazenú.

Nevypínajte vynucovanie a nevystavujte ladenie v nedôveryhodnej sieti, aby test vyzeral dramatickejšie. To mení systém, ktorý meriate, a zanecháva dôkazy, ktoré nikto nezopakuje.

Ak je vaším jediným dôkazom to, že sa ADB pripojil, kým bola VPN aktívna, merali ste nesprávnu cestu. Najprv znova spustite test na úrovni aplikácie; odpoveď zvyčajne príde tam.