VPN algılama, nereden izlediğinize bağlıdır

İki dedektör aynı kullanıcıyı gözleyip farklı düşünebilir, ikisi de haklı olabilir. Erişim bağlantısının yanındaki gözlemci VPN'in dış konuşmasını görür; web sitesi çıkıştan gelen uygulama bağlantısını görür. Bunlar farklı parmak izlerine sahip farklı bağlantılardır ve birinin kanıtı diğerine geçmez. Herhangi bir TLS veya TCP testi tartışılmadan önce gözlem noktasını adlandırmak, iddiayı anlamlı kılan şeydir.

Gözlem noktası belirtilmeyen bir dedektör ölçüm değil görüş anlatır.

İki gözlem noktası, iki farklı bağlantı

Dış konuşma tünel protokolüne aittir: kendi mesaj biçimleri, kendi durum makinesi, kendi zamanlaması. İç bağlantı tarayıcının siteye TLS açmasıdır, tünelden taşınır ve ardından çıkıştan iletilir. İkisi de aynı anda vardır ve aynı akış değildir. Biri erişim ağının görebildiğidir, diğeri hedefin görebildiğidir ve herhangi birini sonlandıran ara kutu iki görüntüyü de değiştirir.

Bu fark, algılama tartışmalarındaki karışıklığın çoğunu açıklar. Bir akış hakkında tek bir şey bildiren test, genellikle operatörün aklındaki katmandan farklı bir katmana ilişkin soruyu yanıtlar.

Erişim yolundaki gözlemci ne görür

Erişim bağlantısının yanında görünen malzeme tünel protokolünün kendisidir: OpenVPN için kontrol ve veri paketi türleri, WireGuard'ın sabit boyutlu el sıkışma ve veri kalıpları veya dağıtımın eklediği herhangi bir sarmalayıcı. Bir sınıflandırıcının bunları tanıyıp tanıyamaması neyin göründüğüne, hangi taşıma aracının onları taşıdığına ve ek gizleme olup olmadığına bağlıdır. Tanınabilir bir kalıp akış hakkında kanıttır ve arkasındaki kişinin kimliği veya niyeti hakkında kanıt değildir.

443 numaralı port bir hizmete ulaşmak için bir gelenektir. Her tünel taşımasını HTTPS yapmaz.

Web sitesi gerçekte ne görür

Yönlendirilmiş bir tünelle tarayıcı yine de siteyle kendi TLS oturumunu yürütür. Çıkıştaki çeviri VPN geçidini tarayıcının TLS uç noktası yapmaz, bu nedenle sitenin aldığı ClientHello tarayıcıyı veya TLS kitaplığını tanımlar. JA3 tarzı bir parmak izi bu nedenle uygulama bağlantısını niteler, onu taşıyan VPN yazılımını değil. Yalnızca bilerek sonlandıran bir vekil sunucu bu düzeni değiştirir ve ayrıca tanımlanmalıdır.

TCP gözlemleri de aynı özeni gerektirir. İletme, çeviri ve yeni bir bağlantı başlatan vekil sunucu üç farklı tasarımdır ve bunlardan yalnızca biri taşıma yığınını yeniden yazar. Tek bir olağandışı özellik bir tüneli benzersiz biçimde ima etmez.

İddiayı kanıtın içinde tutun

Ağ sınıflandırması, protokol gözlemi, uygulama parmak izleri ve hesap sinyalleri bir risk kararının girdileridir; her birinin yanlış pozitifleri, yanlış negatifleri ve eksik kanıtları vardır. Bir barındırma aralığındaki adres ticari bir VPN hakkında hiçbir şey kanıtlamaz ve yaygın bir tarayıcı parmak izi doğrudan bir VPN hakkında hiçbir şey kanıtlamaz. Bir dedektörü değerlendirirken bilinen yolları olan yetkili bir veri kümesi kullanın ve hangi gözlemin hangi sonucu verdiğini kaydedin.

Protokol sınıflandırmasını sonuçları olan bir erişim kararından ayrı tutun. Özel bir yanıt veya bozuk paket hilesi arkasındaki çıkarımı doğrulamaz; yalnızca bir tahmine baskı uygular.

Yararlı bir rapor gözlemi, gözlem noktasını ve güveni adlandırır. Çıplak bir «VPN algılandı» satırı, birinin bunu doğrulamasını sağlayacak kısmı tam olarak gizler.