Zaznavanje VPN je odvisno od tega, od kod gledate

Dva detektorja lahko opazujeta istega uporabnika in se ne strinjata, oba pravilno. Opazovalec ob dostopni povezavi vidi zunanji pogovor VPN; spletno mesto vidi aplikacijsko povezavo, ki prihaja iz izhoda. To so različne povezave z različnimi prstnimi odtisi, in dokaz ene se ne prenese na drugo. Poimenovanje opazovalne točke pred razpravo o katerem koli testu TLS ali TCP je tisto, kar trditev naredi smiselno.

Detektor brez navedene opazovalne točke opisuje mnenje, ne meritve.

Dve opazovalni točki, dve različni povezavi

Zunanji pogovor pripada protokolu tunela: lastni formati sporočil, lastni stroj stanj, lastno časovno usklajevanje. Notranja povezava je brskalnik, ki odpira TLS do spletnega mesta, nesen skozi tunel in nato poslan naprej z izhoda. Oba obstajata v istem trenutku in nista isti tok. Eno je tisto, kar lahko vidi dostopno omrežje, drugo tisto, kar lahko vidi cilj, in vmesna naprava, ki zaključi katero koli od njiju, spremeni obe podobi.

Ta razlika pojasnjuje večino zmede v razpravah o zaznavanju. Test, ki o toku poroča eno stvar, pogosto odgovarja na vprašanje o drugem sloju, kot ga je imel v mislih operater.

Kaj vidi opazovalec na dostopni poti

Ob dostopni povezavi je vidno gradivo sam protokol tunela: vrste krmilnih in podatkovnih paketov za OpenVPN, fiksni vzorci rokovanja in podatkov WireGuarda ali kakršno koli ovijanje, ki ga doda uvajanje. Ali jih klasifikator lahko prepozna, je odvisno od tega, kaj je vidno, kateri transport jih nosi in ali je prisotno dodatno zakrivanje. Prepoznaven vzorec je dokaz o toku, in ne dokaz o identiteti ali nameri osebe za njim.

Vrata 443 so konvencija za doseganje storitve. Ne naredi vsakega tunelskega transporta HTTPS.

Kaj spletno mesto v resnici vidi

Pri usmerjenem tunelu brskalnik še vedno vodi lastno sejo TLS s spletnim mestom. Prevajanje na izhodu ne spremeni VPN prehoda v končno točko TLS brskalnika, zato ClientHello, ki ga prejme spletno mesto, opisuje brskalnik ali njegovo knjižnico TLS. Prstni odtis v slogu JA3 torej označuje aplikacijsko povezavo, ne programske opreme VPN, ki jo nosi. Samo proxy, ki namerno zaključi, spremeni to ureditev, in ga je treba prepoznati ločeno.

Opazovanja TCP zahtevajo enako skrbnost. Posredovanje, prevajanje in proxy, ki odpre novo povezavo, so tri različne zasnove, in le ena od njih prepiše transportni sklad. Ena nenavadna lastnost sama po sebi ne pomeni nujno tunela.

Držite trditev znotraj dokazov

Omrežna klasifikacija, opazovanje protokolov, aplikacijski prstni odtisi in signali računa so vhodi za odločitev o tveganju, vsak z lažnimi pozitivnimi, lažnimi negativnimi in manjkajočimi dokazi. Naslov v gostiteljskem obsegu nič ne dokazuje o komercialnem VPN, običajen prstni odtis brskalnika pa nič o neposrednem. Ko ocenjujete detektor, uporabite dovoljen nabor podatkov z znanimi potmi in zabeležite, katero opazovanje je dalo vsak rezultat.

Držite klasifikacijo protokola ločeno od odločitve o dostopu s posledicami. Prilagojen odgovor ali trik z iznakaženim paketom ne potrjuje sklepa za njim; le izvaja pritisk na domnevo.

Koristno poročilo poimenuje opazovanje, opazovalno točko in zaupanje. Gola vrstica «VPN zaznan» skrije natanko tisti del, ki bi nekomu omogočil, da to preveri.