Vad det lokala nätverket fortfarande ser genom din VPN

Tre observatörer smälter samman till en enda fråga varje gång någon frågar om en VPN döljer deras trafik: nätverket de är anslutna till, maskinen i deras händer och operatören av tunneln. Var och en lär sig något annat, och tunneln förändrar varje sådan vy på ett annat sätt. Det hjälper att arbeta i motsatt riktning och börja från påståendet som görs, eftersom påståendet är det som måste hålla för granskning. Bestäm vilket påstående du behöver och jämför sedan verktygen med det.

Första påståendet: ingen kan läsa trafiken

Börja med det snävaste påståendet: nyttolasten förblir oläsbar. En passiv observatör på vägen kan inte se in i en TLS-session, så tunneln tillför lite till en webbplats som redan använder HTTPS och tillför ingenting mot de två ändpunkterna. Den som bryter detta påstående är den som kontrollerar enheten, eftersom en inspektionsproxy avslutar anslutningen och signerar om den med en rot som maskinen redan litar på. Därför visas hänglåset fortfarande medan certifikatkedjan bär namnet på organisationen som installerade roten.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

På macOS skriver den pipelinen ut en subjektrad för varje certifikat i maskinens nyckelring, utan att öppna ett fönster, och på Windows listar certutil -store Root samma lager som certlm.msc visar grafiskt. En rot som tillhör en skola, en arbetsgivare eller en nätverkssäkerhetsprodukt är posten du ska leta efter. Att hitta en bevisar bara att avlyssning är möjlig, inte att den sker.

Vad du kan göra åt det är en fråga om policy och inte om teknik. Att ta bort en profil eller en inspektionsrot från hårdvara du inte äger bryter normalt mot avtalet om acceptabel användning, och hanteringssystemet brukar upptäcka det och tillämpa det igen, så kravet att enhetens ägare inte får läsa din trafik kräver en annan enhet och inte en annan inställning.

Andra påståendet: ingen ser vart du tar vägen

Destinationen är det svårare påståendet, eftersom två avslöjanden sker innan en sida laddas. En förfrågan går till den resolver som systemet är konfigurerat att använda, och svaret är synligt för nätverket som bär det. Därefter bär TLS-handskakningen det efterfrågade servernamnet i klartext, om inte Encrypted Client Hello stöds i båda ändar. Ingen av avslöjandena innebär dekryptering, så tunneln har ingen effekt på någon av dem.

resolvectl status | grep -A2 "Link"
nslookup example.com

Vilken resolver som faktiskt används avgör exponeringen, och det kan mätas i stället för att diskuteras. På Linux skriver resolvectl status ut DNS-servrarna per länk, och dess utdata talar om ifall webbplatsens resolver eller den påtvingade svarar. Windows svarar på samma fråga med nslookup example.com, vars första utdatablock är den DNS-server som svarade.

När laptopen frågar webbplatsens resolver innan tunneln kommer upp, eller profilen anländer utan en ersättningsserver så att den gamla fortsätter användas, samlar administratören fortfarande in värdnamn utan att dekryptera något. Krypterad DNS i webbläsaren kringgår antingen den påtvingade resolvern eller blockeras helt och misslyckas stängt. Utgångsoperatören ser samma namn från sin sida. Att byta resolver flyttar därför inte det avslöjandet bort från tunnelleverantören.

Tredje påståendet: ingen vet att du anslöt

Det tredje påståendet är det som en tunnel inte kan stödja, eftersom paketen fortfarande korsar det lokala nätverket. Det nätverket lär sig ändpunktsadressen, den ungefärliga volymen, tidpunkten och att det finns en enda långvarig krypterad session, vilket räcker för att blockera, begränsa eller bara lägga märke till. En brandvägg som inte kan läsa ett paket kan ändå vägra att släppa igenom det. Att bli övervakad är inte samma sak som att bli övervakad av ingen: du flyttade observatören, du raderade den inte.

Delad tunnling och varje applikation som ignorerar den påtvingade rutten skapar flöden utanför tunneln som ser precis ut som förut. Det är de flödena en noggrann observatör lägger märke till först, och klientens rutttabell visar vilka destinationer som utesluts.

Operatören i andra änden har spegelbilden av den vyn: utgångsadress, tidpunkt, volym och vanligtvis namnen på webbplatserna. Din leverantör blir parten med utsiktspunkten, vilket är en annan uppgörelse än osynlighet. Att välja en leverantör du litar på är ett verkligt beslut; att kalla resultatet oövervakat är det inte.

Bestäm vilket påstående du behöver

Skriv ner kravet på en rad innan du rör en klient: dölj innehållet, dölj destinationerna eller dölj om du alls anslöt. Innehåll hanteras redan av HTTPS tillsammans med tunneln, medan destinationer kräver en resolver och en väg som helt kringgår webbplatsens utrustning.

Det tredje kravet är det obekväma, eftersom något fortfarande synligt är anslutet någonstans, krypterat eller inte. Ingen klientinställning ändrar det. Om kravet och policyn drar ifrån varandra hör den klyftan hemma i ett samtal med den som äger policyn, inte i ett klientval. Personen som kan svara på det är den som skrev policyn.