การดักจับ VPN: แพ็กเก็ตภายในบน tun0 ซองบน eth0

การดักจับบนโฮสต์ VPN ไม่ได้บันทึกสิ่งเดียวเท่านั้น เคอร์เนลเปิดเผยแพ็กเก็ตสองครั้ง: แบบห่อหุ้ม บนอะแดปเตอร์กายภาพ และแบบเปิดออก บนอุปกรณ์อุโมงค์ การเลือกอินเทอร์เฟซคือการเลือกว่าคุณอ่านเรื่องไหน การถกเถียงส่วนใหญ่เกี่ยวกับสิ่งที่การดักจับพิสูจน์นั้นแท้จริงคือการถกเถียงว่าเก็บเรื่องไหนมา

การห่อหุ้มสร้างสองมุมมอง

อุโมงค์นำแพ็กเก็ตที่แอปพลิเคชันสร้างขึ้นและใส่ไว้ในแพ็กเก็ตใหม่ซึ่งปลายทางคือเซิร์ฟเวอร์ VPN รูปแบบภายในปรากฏบน tun0, wg0 หรืออุปกรณ์ใดก็ตามที่ไคลเอนต์สร้างขึ้น รูปแบบภายนอกปรากฏบนอะแดปเตอร์ที่พามันไปยังเครือข่าย ทั้งสองรูปแบบชอบด้วยกฎหมาย ทั้งสองตอบคำถามต่างกัน เก็บแต่ละอย่างแยกกัน เพราะทั้งสองมีส่วนหัวและผู้อ่านต่างกัน

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

อินเทอร์เฟซเทียม any เป็นทางเลือกที่ไม่ดีสำหรับการเปรียบเทียบนี้ แพ็กเก็ตที่ส่งต่ออาจถูกบันทึกสองครั้ง และแพ็กเก็ตที่สร้างขึ้นในเครื่องปรากฏในทั้งสองรูปแบบ ซึ่งทำให้ตัวเลขบวม หากตัวเลขดูเป็นไปไม่ได้ ให้ตรวจสอบอินเทอร์เฟซก่อนโทษอุโมงค์

ภายในอุโมงค์ แพ็กเก็ตเป็นเรื่องธรรมดา

บนอุปกรณ์อุโมงค์ สิ่งที่คุณเห็นคือสิ่งที่แอปพลิเคชันขอให้เคอร์เนลส่ง ที่อยู่ปลายทาง พอร์ต ชื่อ DNS ชื่อเซิร์ฟเวอร์ TLS ขนาด และเวลาล้วนอยู่ที่นั่น เพย์โหลด TLS ยังคงถูกเข้ารหัสโดยเซสชันของแอปพลิเคชันเอง การดักจับจึงไม่เปิดเผยเนื้อหาหน้าเว็บ คำค้น DNS แบบข้อความธรรมดามองเห็นได้ที่นี่แม้ตัวพาจะถูกเข้ารหัส เพราะมันไม่เคยได้รับการปกป้อง

DNS ที่เข้ารหัสลบฟิลด์ที่มองเห็นได้หนึ่งเดียวนั้นออกไป มันไม่ซ่อนที่อยู่ปลายทาง จำนวนไบต์ หรือจังหวะ ซึ่งเป็นคุณสมบัติของกระแสไม่ใช่ของคำค้น

ภายนอกมีเพียงซองและรูปร่างของมัน

อะแดปเตอร์กายภาพแสดงที่อยู่ของคุณ ที่อยู่ของเซิร์ฟเวอร์ พอร์ต ขนาดแพ็กเก็ต และเวลา ปลายทางที่บรรจุอยู่ภายในหายไป แม้รูปร่างของมันยังอาจสนับสนุนการอนุมานได้ ขนาดและจังหวะอาจบ่งชี้ถึงสตรีมวิดีโอ การถ่ายโอนขนาดใหญ่ หรือเซสชันแชทโดยไม่เอ่ยชื่อใดเลย ผู้สังเกตการณ์ใกล้เคียงเห็นภาพเดียวกันโดยประมาณ ซึ่งอธิบายว่าอุโมงค์สามารถซ่อนเว็บไซต์ขณะประกาศการมีอยู่ของตัวเองได้อย่างไร

ข้อกล่าวอ้างนั้นขึ้นอยู่กับการกำหนดเส้นทาง เส้นทางที่แคบกว่า ค่าเริ่มต้น IPv6 ที่ไม่เข้าสู่อุโมงค์ หรือโปรเซสที่ผูกกับอินเทอร์เฟซกายภาพจะทำให้ทราฟฟิกอยู่นอกซอง อ่านเส้นทางจริงก่อนสรุปจากการดักจับ

ที่อยู่ของคู่สนทนาและสุขอนามัยของการดักจับ

OpenVPN ในโหมด TCP รักษาซ็อกเก็ตที่สร้างไว้ ดังนั้นตารางซ็อกเก็ตสามารถระบุคู่สนทนาได้ OpenVPN ในโหมด UDP มักปล่อยซ็อกเก็ตไว้โดยไม่เชื่อมต่อ และ ss อาจแสดงเฉพาะฝั่งท้องถิ่น ให้อ่าน remote ของโปรไฟล์ บันทึกไคลเอนต์แบบละเอียด หรือเส้นทางไปยังปลายทางแทน WireGuard รายงานปลายทางและแฮนด์เชกครั้งล่าสุดโดยตรง

wg show
ss -tunp | grep 51820

ไฟล์ดักจับมีอายุยืนกว่าเซสชันที่สร้างมันขึ้นมา มันสามารถถูกคัดลอกได้ และอาจอ่านได้โดยใครก็ตามที่มีการเข้าถึงในเครื่อง เก็บไว้เฉพาะสิ่งที่การสอบสวนต้องการ จำกัดสิทธิ์ และลบมันเมื่อทำงานเสร็จ

การดักจับที่แบ่งปันได้ควรระบุว่าอินเทอร์เฟซใดสร้างมันขึ้นมาและเมื่อใด หากไม่มีบันทึกนั้น ผู้อ่านคนถัดไปต้องเดาว่ากำลังดูเลเยอร์ใด