Kile ambacho firewall ya shirika inaweza na isiweze kuona ndani ya VPN

Laptop hiyo hiyo inafikia VPN kutoka nyumbani na haiwezi kuunganisha kutoka ofisini, kwa hivyo mtu lazima anasoma trafiki. Kuzuia na kusoma ni mamlaka tofauti, na ya pili pekee inahitaji mahali kwenye njia pamoja na cheti ambacho mteja anakiamini. Sanduku la kati linalotupa handshake yako hakijajifunza chochote kuhusu kile ungekuwa unatuma. Kuamua ni ipi kati ya hizo mbili unayokabiliana nayo ni kazi yote.

Kuzuia na kusoma ni mamlaka tofauti

Kukataa ni rahisi na kwa sauti: soketi inafunguka na hakuna kinachojibu, au reset inakuja mara moja. Hakuna katika hayo kunamaanisha ukaguzi, kwa sababu hakuna mzigo uliovuka waya.

Kusoma kunahitaji kituo cha mwisho kinachomaliza ulinzi, kinachojithibitisha kwa cheti na kuanza muunganisho mpya mbele. Kituo hicho lazima kiwe kwenye njia na kiaminike na mteja. Firewall inayopitisha pakiti tu haina nafasi wala kibali.

Kile ambacho kifuniko kinatoa bure

Kila pakiti ya handaki ina upande wa nje, na upande wa nje lazima uweze kupitika. Hiyo inamaanisha anwani mbili, itifaki moja, bandari moja na urefu, pamoja na muda na kiasi. Kila kipanga njia tayari kinashughulikia sehemu hizo, na NAT huandika upya anwani na bandari ili jedwali lake la ramani libaki sawia. Mzigo unabaki umefungwa, kwa hivyo uchunguzi unaishia kwenye ukweli kwamba kuna handaki kati ya wenyeji wawili.

Jina la mwenyeji halimo kati yao. Tovuti zinavuja kupitia milango mingine, na pana zaidi ni DNS: ikiwa laptop bado inauliza kitatuzi cha ndani, majina yanaonekana waziwazi.

Muda na kiasi vinastahili heshima bila kupindukia. Baiti kwa dakika vinaweza kuonyesha kwamba uhamisho mkubwa unaanza saa 14:20; haviwezi kuonyesha faili ipi iliyohama. Hiyo ni ufunuo wa kweli kuhusu tabia, na kundi tofauti na kusoma maudhui.

Uingiliaji wa TLS unahitaji mzizi ambao tayari unauamini

Kifaa cha ukaguzi hakivunji TLS; kinakimaliza. Mteja anajibiwa na cheti kutoka mzizi ambao shirika linamiliki, na muunganisho wa pili unaenda kwenye lengo halisi. Mteja anakubali hii kwa sababu mzizi huo uko katika hifadhi yake ya uaminifu, ndiyo sababu laptop inayosimamiwa haionyeshi onyo. Usimbaji fiche haukushindwa kamwe; kituo cha mwisho kilihamishwa.

Ndiyo sababu mpangilio huu unaacha ushahidi. Mtoaji kwenye mnyororo uliowasilishwa ni wa shirika na si wa CA ya umma, na mteja anaweza kuona hilo bila zana maalum. Mnyororo unaoishia kwenye mzizi wa ndani ni saini ya uingiliaji, si hitilafu.

Kwa nini kituo cha VPN si kikao cha HTTPS

Kituo cha data cha VPN hakimpi mkaguzi tegemeo kama hilo. IKEv2 na WireGuard zinaendesha handshake na ratiba zao za funguo, bila TLS ya kumaliza, wakati OpenVPN inakopa TLS kwa kituo chake cha udhibiti kwa umbo lililobadilishwa kabla ya kulinda data kwa njia yake. Proksi iliyojengwa kwa HTTPS haitambui kikao hicho kama kitu inachoweza kuchanganua.

Kifaa kisichoweza kuchanganua kikao bado kinaweza kukitupa. Ndiyo sababu kuzuia VPN kwa kawaida huonekana kama muda kuisha na si onyo la cheti, na ndiyo sababu ubaguzi haubadilishi chochote.

Thibitisha kutoka kwenye mashine yako

Anza na mnyororo ambao tovuti inawasilisha. Maelezo ya tovuti kwenye kivinjari yanaonyesha mtoaji, na mstari wa amri unaripoti kitu hicho hicho bila muhtasari:

openssl s_client -connect example.com:443 -servername example.com

Kisha tenganisha handshake iliyokataliwa na trafiki ya ndani iliyochujwa kwa vihesabu. Rekodi bandari ya usafirishaji kabla ya kanuni yoyote ya kutupa na uzisome baada ya jaribio:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Hakuna mstari wa kumbukumbu kwenye soketi ya nje kunamaanisha handshake haikuwahi kutoka, kwa hivyo njia inakataa handaki. Handshake iliyokamilika na baadhi ya maeneo tu yanashindikana kunamaanisha handaki inafanya kazi na sera ya ndani haifanyi kazi. Hakuna matokeo yoyote yaliyohitaji kusoma baiti moja ya mzigo.

Usomaji unaotokea kweli uko pembezoni: handaki iliyogawanywa inakabidhi HTTPS ya ndani kwa proksi ya shirika, na kikusanyaji kinachomilikiwa na mwajiri kinaweka wazi kila kitu kwenye njia ya kutoka. Utaona kipi, usizime uthibitishaji wa cheti ili kulazimisha muunganisho, kwa sababu ukaguzi huo ndio kitu pekee kinachotenganisha ukaguzi na mshambuliaji.