Kaj lahko in česa ne more videti poslovni požarni zid znotraj VPN

Isti prenosnik doseže VPN od doma in se iz pisarne ne more povezati, torej nekdo bere promet. Blokiranje in branje sta ločeni pooblastili in samo drugo potrebuje mesto na poti ter potrdilo, ki mu odjemalec zaupa. Vmesnik, ki zavrže tvoje rokovanje, se ni naučil ničesar o tem, kar bi poslal. Odločiti se, s katerim od dveh se srečuješ, je vse delo.

Blokiranje in branje sta različni pooblastili

Zavrnitev je poceni in glasna: vtičnica se odpre in nič ne odgovori, ali takoj prispe ponastavitev. Nič od tega ne pomeni pregleda, ker noben tovor ni prečkal žice.

Branje zahteva končno točko, ki konča zaščito, se izkaže s potrdilom in odpre novo povezavo naprej. Ta točka mora stati na poti in ji mora odjemalec zaupati. Požarni zid, ki samo posreduje pakete, nima ne položaja ne pooblastila.

Kaj ovoj razdeli zastonj

Vsak paket tunela ima zunanjo stran in zunanja stran mora biti usmerljiva. To pomeni dva naslova, protokol, vrata in dolžino, poleg tega čas in obseg. Vsak usmerjevalnik že obdeluje ta polja, NAT pa prepiše naslov in vrata, da njegova preslikovalna tabela ostane dosledna. Tovor ostane zapečaten, zato se opazovanje ustavi pri dejstvu, da med dvema gostiteljema obstaja tunel.

Ime gostitelja ni med njimi. Spletna mesta uhajajo skozi druga vrata, najširša pa so DNS: če prenosnik še vedno sprašuje krajevni razreševalnik, se imena pokažejo odkrito.

Čas in obseg si zaslužita spoštovanje brez pretiravanja. Bajtov na minuto lahko pokažejo, da se velik prenos začne ob 14:20; ne morejo pokazati, katera datoteka se je premaknila. To je resnično razkritje vedenja in druga kategorija kot branje vsebine.

Prestrezanje TLS potrebuje korenino, ki ji že zaupaš

Pregledovalna naprava ne zlomi TLS; konča ga. Odjemalcu odgovori potrdilo iz korenine, ki jo ima organizacija, druga povezava pa gre do pravega cilja. Odjemalec to sprejme, ker ta korenina leži v njegovem skladišču zaupanja, zato upravljani prenosnik ne pokaže nobenega opozorila. Kriptografija ni bila nikoli premagana; končna točka je bila premaknjena.

Zato ta ureditev pušča dokaze. Izdajatelj na predstavljeni verigi pripada organizaciji in ne javni CA, odjemalec pa to vidi brez posebnih orodij. Veriga, ki se konča v notranji korenini, je podpis prestrezanja, ne okvara.

Zakaj kanal VPN ni seja HTTPS

Podatkovni kanal VPN ne daje pregledovalcu take opore. IKEv2 in WireGuard izvajata lastna rokovanja in razporede ključev, brez TLS za končanje, medtem ko si OpenVPN izposodi TLS za svoj nadzorni kanal v spremenjeni obliki, preden podatke zaščiti na svoj način. Posrednik, zgrajen za HTTPS, te seje ne prepozna kot nečesa, kar bi lahko razčlenil.

Naprava, ki seje ne more razčleniti, jo lahko vseeno zavrže. Zato je blokiranje VPN običajno videti kot časovna omejitev in ne kot opozorilo o potrdilu, in zato izjema ničesar ne spremeni.

Preverite z lastnega računalnika

Začnite z verigo, ki jo predstavi mesto. Podrobnosti mesta v brskalniku pokažejo izdajatelja, ukazna vrstica pa poroča isto brez povzetka:

openssl s_client -connect example.com:443 -servername example.com

Nato s števci ločite zavrnjeno rokovanje od filtriranega notranjega prometa. Zabeležite prenosna vrata pred vsakim pravilom za zavrženje in jih preberite po poskusu:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Brez vrstice v dnevniku na zunanji vtičnici pomeni, da rokovanje ni nikoli odšlo, zato pot tunel zavrača. Dokončano rokovanje, pri katerem spodletijo le nekateri cilji, pomeni, da tunel deluje, notranja politika pa ne. Noben izid ni zahteval branja bajta tovora.

Branje, ki se resnično dogaja, sedi na robovih: razdeljen tunel izroči notranji HTTPS poslovnemu posredniku, koncentrator v lasti delodajalca pa ob izhodu razkrije vse. Karkoli najdete, ne izklopite preverjanja potrdil, da bi vsilili povezavo, ker je to preverjanje edino, kar loči pregled od napadalca.