การตรวจจับ VPN ขึ้นอยู่กับว่าคุณเฝ้าดูจากที่ใด

ตัวตรวจจับสองตัวอาจเฝ้าดูผู้ใช้คนเดียวกันแล้วเห็นไม่ตรงกันได้ และทั้งคู่ก็ถูก ผู้สังเกตข้างลิงก์เชื่อมต่อเห็นบทสนทนาชั้นนอกของ VPN ส่วนเว็บไซต์เห็นการเชื่อมต่อแอปพลิเคชันที่มาจากทางออก สิ่งเหล่านี้เป็นการเชื่อมต่อที่ต่างกันพร้อมลายนิ้วมือที่ต่างกัน และหลักฐานของสิ่งหนึ่งไม่อาจย้ายไปยังอีกสิ่งหนึ่ง การระบุจุดสังเกตก่อนจะถกเถียงเรื่องการทดสอบ TLS หรือ TCP ใด ๆ คือสิ่งที่ทำให้ข้อกล่าวอ้างมีความหมาย

ตัวตรวจจับที่ไม่ระบุจุดสังเกตกำลังอธิบายความคิดเห็น ไม่ใช่การวัด

สองจุดสังเกต สองการเชื่อมต่อที่ต่างกัน

บทสนทนาชั้นนอกเป็นของโปรโตคอลอุโมงค์ รูปแบบข้อความของมันเอง เครื่องสถานะของมันเอง จังหวะเวลาของมันเอง การเชื่อมต่อชั้นในคือเบราว์เซอร์เปิด TLS ไปยังเว็บไซต์ ถูกพาไปตามอุโมงค์แล้วส่งต่อจากทางออก ทั้งสองมีอยู่ในขณะเดียวกันและไม่ใช่โฟลว์เดียวกัน สิ่งหนึ่งคือสิ่งที่เครือข่ายเข้าถึงมองเห็น อีกสิ่งคือสิ่งที่ปลายทางมองเห็น และกล่องกลางที่ยุติอย่างใดอย่างหนึ่งเปลี่ยนภาพทั้งสอง

ความต่างนี้อธิบายความสับสนส่วนใหญ่ในการถกเถียงเรื่องการตรวจจับ การทดสอบที่รายงานสิ่งหนึ่งเกี่ยวกับโฟลว์มักตอบคำถามเกี่ยวกับชั้นอื่นจากที่ผู้ปฏิบัติงานคิดไว้

ผู้สังเกตบนเส้นทางเข้าถึงเห็นอะไร

ข้างลิงก์เชื่อมต่อ วัสดุที่มองเห็นได้คือโปรโตคอลอุโมงค์เอง ประเภทแพ็กเก็ตควบคุมและข้อมูลของ OpenVPN รูปแบบแฮนด์เชคและข้อมูลขนาดคงที่ของ WireGuard หรือเปลือกใด ๆ ที่การติดตั้งเพิ่มเข้ามา ตัวจำแนกจะระบุได้หรือไม่ขึ้นอยู่กับสิ่งที่มองเห็น การขนส่งที่พามัน และมีการพรางเพิ่มเติมหรือไม่ รูปแบบที่จำได้คือหลักฐานเกี่ยวกับโฟลว์ ไม่ใช่หลักฐานเกี่ยวกับตัวตนหรือเจตนาของบุคคลเบื้องหลัง

พอร์ต 443 เป็นเพียงธรรมเนียมในการเข้าถึงบริการ มันไม่ได้ทำให้การขนส่งอุโมงค์ทุกรูปแบบกลายเป็น HTTPS

เว็บไซต์เห็นอะไรจริง ๆ

เมื่อใช้อุโมงค์แบบกำหนดเส้นทาง เบราว์เซอร์ยังคงทำเซสชัน TLS ของตัวเองกับเว็บไซต์ การแปลงที่ทางออกไม่ได้ทำให้เกตเวย์ VPN กลายเป็นปลายทาง TLS ของเบราว์เซอร์ ดังนั้น ClientHello ที่เว็บไซต์ได้รับจึงบรรยายเบราว์เซอร์หรือไลบรารี TLS ของมัน ลายนิ้วมือสไตล์ JA3 จึงบอกลักษณะการเชื่อมต่อแอปพลิเคชัน ไม่ใช่ซอฟต์แวร์ VPN ที่พามัน มีเพียงพร็อกซีที่ยุติอย่างตั้งใจเท่านั้นที่เปลี่ยนการจัดวางนั้น และต้องระบุแยกต่างหาก

การสังเกต TCP ต้องการความระมัดระวังแบบเดียวกัน การส่งต่อ การแปลง และพร็อกซีที่เริ่มการเชื่อมต่อใหม่เป็นสามดีไซน์ที่ต่างกัน และมีเพียงหนึ่งเดียวที่เขียนสแต็กการขนส่งใหม่ ลักษณะผิดปกติเพียงอย่างเดียวไม่ได้บ่งชี้ถึงอุโมงค์อย่างชัดเจน

เก็บข้อกล่าวอ้างไว้ในขอบเขตหลักฐาน

การจำแนกเครือข่าย การสังเกตโปรโตคอล ลายนิ้วมือแอปพลิเคชัน และสัญญาณบัญชีเป็นข้อมูลเข้าสู่การตัดสินใจเรื่องความเสี่ยง แต่ละอย่างมีผลบวกลวง ผลลบเท็จ และหลักฐานที่ขาดหาย ที่อยู่ในช่วงโฮสติ้งไม่ได้พิสูจน์อะไรเกี่ยวกับ VPN เชิงพาณิชย์ และลายนิ้วมือเบราว์เซอร์ทั่วไปก็ไม่ได้พิสูจน์อะไรเกี่ยวกับ VPN โดยตรง เมื่อประเมินตัวตรวจจับ ให้ใช้ชุดข้อมูลที่ได้รับอนุญาตซึ่งมีเส้นทางที่รู้จัก และบันทึกว่าการสังเกตใดให้ผลลัพธ์ใด

แยกการจำแนกโปรโตคอลออกจากการตัดสินใจเข้าถึงที่มีผลตามมา การตอบสนองที่กำหนดเองหรือกลอุบายแพ็กเก็ตที่ผิดรูปไม่ได้ยืนยันการอนุมานเบื้องหลัง มันเพียงกดดันการคาดเดา

รายงานที่มีประโยชน์ระบุการสังเกต จุดสังเกต และความมั่นใจ บรรทัด «ตรวจพบ VPN» เปล่า ๆ ซ่อนส่วนที่ทำให้ใครสักคนตรวจสอบได้พอดี