Шта локална мрежа још увек види кроз ваш VPN

Три посматрача се стапају у једно питање сваки пут када неко пита да ли VPN крије његов саобраћај: мрежа на коју је повезан, машина у његовим рукама и оператер тунела. Сваки сазна нешто друго, а тунел мења сваки од тих погледа на другачији начин. Корисно је ићи у супротном смеру и почети од тврдње која се износи, јер тврдња је оно што мора да издржи проверу. Одлучите која вам тврдња треба, па упоредите алате са њом.

Прва тврдња: нико не може да прочита саобраћај

Почните од најуже тврдње: корисни терет остаје нечитљив. Пасивни посматрач на путу не може да види унутар TLS сесије, па тунел додаје мало сајту који већ користи HTTPS и не додаје ништа против две крајње тачке. Тврдњу руши онај ко контролише уређај, јер инспекцијски прокси завршава везу и поново је потписује кореном ком машина већ верује. Зато се катанци и даље појављују док ланац сертификата носи име организације која је инсталирала корен.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

На macOS тај низ исписује по једну линију субјекта за сваки сертификат у привеску кључева машине, без отварања прозора, а на Windows certutil -store Root наводи исто складиште које certlm.msc приказује графички. Корен који припада школи, послодавцу или производу за мрежну безбедност је запис који треба тражити. Проналажење једног доказује само да је пресретање могуће, а не да се дешава.

Шта можете да учините у вези с тим је питање политике, а не технике. Уклањање профила или инспекцијског корена са хардвера који није ваш обично крши споразум о прихватљивој употреби, а систем управљања то обично примети и поново примени, па захтев да власник уређаја не чита ваш саобраћај тражи други уређај, а не друго подешавање.

Друга тврдња: нико не види куда идете

Одредиште је тежа тврдња, јер се два откривања догађају пре него што се страница учита. Упит иде ка оном резолверу који је систем конфигурисан да користи, а одговор је видљив мрежи која га носи. Затим TLS руковање носи тражено име сервера отворено, осим ако Encrypted Client Hello није подржан на оба краја. Ниједно од откривања не укључује дешифровање, па тунел нема утицаја ни на једно.

resolvectl status | grep -A2 "Link"
nslookup example.com

Који се резолвер стварно користи одређује изложеност, и то може да се измери уместо да се расправља. На Linux-у resolvectl status исписује DNS сервере по вези, а његов излаз каже да ли одговара резолвер сајта или онај наметнути. Windows одговара на исто питање помоћу nslookup example.com, чији је први блок излаза DNS сервер који је одговорио.

Када лаптоп пита резолвер сајта пре него што се тунел подигне, или профил стигне без заменског сервера па стари остане у употреби, администратор и даље прикупља имена домаћина без ичега да дешифрује. Шифровани DNS у прегледачу или заобилази наметнути резолвер или бива потпуно блокиран и не успева затворен. Оператер излаза види иста имена са своје стране. Зато промена резолвера не помера то откривање од добављача тунела.

Трећа тврдња: нико не зна да сте се повезали

Трећа тврдња је она коју тунел не може да подржи, јер пакети и даље прелазе локалну мрежу. Та мрежа сазнаје адресу крајње тачке, приближан обим, време и постојање једне дуготрајне шифроване сесије, што је довољно да блокира, ограничи или једноставно примети. Заштитни зид који не може да прочита пакет ипак може да одбије да га пропусти. Бити посматран није исто као да вас нико не посматра: померили сте посматрача, нисте га избрисали.

Подељено тунелирање и свака апликација која игнорише наметнуту путању стварају токове ван тунела који изгледају тачно као пре. Управо те токове пажљив посматрач прво примети, а табела рута клијента показује која су одредишта искључена.

Оператер на другом крају држи огледалску слику тог погледа: излазну адресу, време, обим и обично имена сајтова. Ваш добављач постаје страна са тачком гледишта, што је другачија погодба од невидљивости. Изабрати добављача коме верујете је стварна одлука; назвати резултат неопаженим није.

Одлучите која вам тврдња треба

Запишите захтев у једном реду пре него што дотакнете клијента: сакријте садржај, сакријте одредишта или сакријте да ли сте се уопште повезали. Садржај већ решавају HTTPS и тунел, док одредишта траже резолвер и путању који потпуно заобилазе опрему сајта.

Трећи захтев је онај незгодни, јер је нешто и даље видљиво повезано негде, шифровано или не. Ниједно подешавање клијента то не мења. Ако се захтев и политика разилазе, тај јаз припада разговору са оним ко поседује политику, а не опцији у клијенту. Особа која може да одговори је она која је написала политику.