Çfarë vazhdon të shohë rrjeti lokal përmes VPN-së tuaj

Tre vëzhgues bashkohen në një pyetje sa herë që dikush pyet nëse një VPN e fsheh trafikun e tij: rrjeta me të cilën është i lidhur, makina në duart e tij dhe operatori i tunelit. Secili mëson diçka tjetër, dhe tuneli i ndryshon secilën prej këtyre pikëpamjeve në një mënyrë tjetër. Ndihmon të punohet në drejtimin e kundërt dhe të fillohet nga pohimi që bëhet, sepse pohimi është ajo që duhet t'i bëjë ballë shqyrtimit. Vendosni cili pohim ju nevojitet, pastaj krahasoni mjetet me të.

Pohimi i parë: askush nuk mund ta lexojë trafikun

Filloni me pohimin më të ngushtë: ngarkesa mbetet e palexueshme. Një vëzhgues pasiv në rrugë nuk mund të shohë brenda një sesioni TLS, kështu që tuneli i shton pak një faqeje që tashmë përdor HTTPS dhe nuk i shton asgjë dy skajeve. Pala që e thyen këtë pohim është kushdo që kontrollon pajisjen, sepse një përfaqësues inspektimi e përfundon lidhjen dhe e nënshkruan përsëri me një rrënjë që makina tashmë i beson. Kjo është arsyeja pse dryni shfaqet ende ndërsa zinxhiri i certifikatave mban emrin e organizatës që instaloi rrënjën.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

Në macOS ai tubim shtyp një rresht subjekti për çdo certifikatë në vargun e çelësave të makinës, pa hapur dritare, dhe në Windows certutil -store Root liston të njëjtën depo që certlm.msc shfaq grafikisht. Një rrënjë që i përket një shkolle, një punëdhënësi ose një produkti të sigurisë së rrjetit është hyrja që duhet kërkuar. Gjetja e njërës provon vetëm se përgjimi është i mundur, jo se po ndodh.

Çfarë mund të bëni për këtë është çështje politike dhe jo teknike. Heqja e një profili ose e një rrënje inspektimi nga hardueri që nuk është i juaji zakonisht shkel marrëveshjen e përdorimit të pranueshëm, dhe sistemi i menaxhimit zakonisht e vëren dhe e zbaton përsëri, kështu që kërkesa që pronari i pajisjes të mos e lexojë trafikun tuaj kërkon një pajisje tjetër, jo një cilësim tjetër.

Pohimi i dytë: askush nuk sheh ku shkoni

Destinacioni është pohimi më i vështirë, sepse dy zbulime ndodhin përpara se të ngarkohet një faqe. Kërkimi shkon te ai zgjidhës që sistemi është konfiguruar të përdorë, dhe përgjigja është e dukshme për rrjetin që e transporton. Pastaj shtrëngimi i duarve TLS e transporton emrin e serverit të kërkuar hapur, përveç nëse Encrypted Client Hello mbështetet në të dy skajet. Asnjëri prej dy zbulimeve nuk përfshin dekriptim, kështu që tuneli nuk ka efekt mbi asnjërin.

resolvectl status | grep -A2 "Link"
nslookup example.com

Cili zgjidhës përdoret në të vërtetë vendos ekspozimin, dhe kjo mund të matet në vend që të diskutohet. Në Linux resolvectl status shtyp serverët DNS për çdo lidhje, dhe dalja e tij ju tregon nëse përgjigjet zgjidhësi i faqes apo ai i imponuar. Windows i përgjigjet të njëjtës pyetje me nslookup example.com, blloku i parë i daljes së të cilit është serveri DNS që u përgjigj.

Kur laptopi pyet zgjidhësin e faqes përpara se tuneli të ngrihet, ose profili vjen pa një server zëvendësues kështu që ai i vjetër mbetet në përdorim, administratori vazhdon të mbledhë emra hostesh pa dekriptuar asgjë. DNS i kriptuar në shfletues ose e anashkalon zgjidhësin e imponuar ose bllokohet plotësisht dhe dështon i mbyllur. Operatori i daljes i sheh të njëjtat emra nga ana e tij. Prandaj ndryshimi i zgjidhësit nuk e largon atë zbulim nga ofruesi i tunelit.

Pohimi i tretë: askush nuk e di që u lidhët

Pohimi i tretë është ai që një tunel nuk mund ta mbështesë, sepse paketat vazhdojnë të kalojnë rrjetin lokal. Ai rrjet mëson adresën e pikës fundore, vëllimin e përafërt, kohën dhe ekzistencën e një sesioni të vetëm të kriptuar jetëgjatë, gjë që mjafton për të bllokuar, kufizuar ose thjesht vënë re. Një mur zjarri që nuk mund të lexojë një paketë mund të refuzojë gjithsesi ta lërë të kalojë. Të jesh i vëzhguar nuk është e njëjta gjë me atë që askush të mos vëzhgojë: e zhvendosët vëzhguesin, nuk e fshitë.

Tunelimi i ndarë, dhe çdo aplikacion që shpërfill rrugën e imponuar, prodhojnë flukse jashtë tunelit që duken saktësisht si më parë. Janë pikërisht ato flukse që një vëzhgues i kujdesshëm i vë re i pari, dhe tabela e rrugëve e klientit tregon cilat destinacione janë përjashtuar.

Operatori në skajin tjetër mban imazhin pasqyrë të asaj pikëpamjeje: adresa e daljes, koha, vëllimi dhe zakonisht emrat e faqeve. Ofruesi juaj bëhet pala me pikën e vëzhgimit, gjë që është një marrëveshje ndryshe nga padukshmëria. Të zgjidhni një ofrues të cilit i besoni është vendim i vërtetë; ta quani rezultatin të pavëzhguar nuk është.

Vendosni cili pohim ju nevojitet

Shkruani kërkesën në një rresht përpara se të prekni një klient: fshih përmbajtjen, fshih destinacionet ose fshih nëse u lidhët fare. Përmbajtjen e trajtojnë tashmë HTTPS bashkë me tunelin, ndërsa destinacionet kërkojnë një zgjidhës dhe një rrugë që anashkalojnë plotësisht pajisjet e faqes.

Kërkesa e tretë është ajo e sikletshme, sepse diçka është ende dukshëm e lidhur diku, e kriptuar ose jo. Asnjë cilësim i klientit nuk e ndryshon këtë. Nëse kërkesa dhe politika ndahen, ai hendek i takon një bisede me atë që zotëron politikën, jo një opsioni në klient. Personi që mund t'i përgjigjet është ai që shkroi politikën.