Yerel ağ VPN’niz üzerinden hâlâ ne görüyor

Biri VPN’in trafiğini gizleyip gizlemediğini sorduğunda üç gözlemci tek bir soruda birleşir: bağlı olduğu ağ, elindeki makine ve tünelin operatörü. Her biri farklı bir şey öğrenir ve tünel bu görüşlerin her birini farklı biçimde değiştirir. Ters yönde çalışmak ve ortaya atılan iddiadan başlamak yararlıdır, çünkü incelemeye dayanması gereken şey iddiadır. Hangi iddiaya ihtiyacınız olduğuna karar verin, sonra araçları onunla karşılaştırın.

Birinci iddia: kimse trafiği okuyamaz

En dar iddiayla başlayın: yük okunamaz kalır. Yoldaki pasif bir gözlemci TLS oturumunun içini göremez, bu yüzden tünel hâlihazırda HTTPS kullanan bir siteye az şey ekler ve iki uç noktaya karşı hiçbir şey eklemez. Bu iddiayı kıran taraf cihazı kontrol edendir, çünkü bir denetim vekili bağlantıyı sonlandırır ve makinenin zaten güvendiği bir kökle yeniden imzalar. Bu yüzden sertifika zinciri kökü kuran kuruluşun adını taşırken kilit simgesi hâlâ görünür.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

macOS’ta bu boru hattı, makinenin anahtarlığındaki her sertifika için bir konu satırı yazdırır, pencere açmadan, Windows’ta ise certutil -store Root certlm.msc’nin grafik olarak gösterdiği aynı depoyu listeler. Bir okulun, işverenin ya da ağ güvenliği ürününün kökü aranacak kayıttır. Birini bulmak yalnızca araya girme olasılığını kanıtlar, gerçekleştiğini değil.

Bu konuda ne yapabileceğiniz teknik değil politika sorusudur. Sahibi olmadığınız donanımdan bir profil ya da denetim kökü kaldırmak genellikle kabul edilebilir kullanım sözleşmesini ihlal eder ve yönetim sistemi bunu fark edip yeniden uygulamaya eğilimlidir, bu yüzden cihaz sahibinin trafiğinizi okumaması gerektiği şartı başka bir ayar değil başka bir cihaz gerektirir.

İkinci iddia: kimse nereye gittiğinizi görmez

Hedef daha zor iddiadır, çünkü bir sayfa yüklenmeden önce iki açıklama olur. Sorgu, sistemin kullanmak üzere yapılandırıldığı çözümleyiciye gider ve yanıt onu taşıyan ağ tarafından görülür. Ardından TLS el sıkışması istenen sunucu adını açıkça taşır, meğer ki Encrypted Client Hello iki uçta da desteklenmiyor olsun. Açıklamaların hiçbiri şifre çözmeyi içermez, bu yüzden tünelin ikisine de etkisi yoktur.

resolvectl status | grep -A2 "Link"
nslookup example.com

Hangi çözümleyicinin gerçekte kullanıldığı maruziyeti belirler ve bu tartışılmak yerine ölçülebilir. Linux’ta resolvectl status her bağlantı için DNS sunucularını yazdırır ve çıktısı sitenin çözümleyicisinin mi yoksa dayatılanın mı yanıt verdiğini söyler. Windows aynı soruya nslookup example.com ile yanıt verir; çıktısının ilk bloğu yanıt veren DNS sunucusudur.

Dizüstü bilgisayar tünel kalkmadan önce sitenin çözümleyicisine sorduğunda, ya da profil yedek bir sunucu olmadan gelip eskisi kullanımda kaldığında, yönetici hiçbir şeyin şifresini çözmeden ana makine adlarını toplamaya devam eder. Tarayıcıdaki şifreli DNS ya dayatılan çözümleyiciyi atlar ya da tamamen engellenir ve kapalı olarak başarısız olur. Çıkış operatörü kendi tarafından aynı adları görür. Dolayısıyla çözümleyiciyi değiştirmek bu açıklamayı tünel sağlayıcısından uzaklaştırmaz.

Üçüncü iddia: kimse bağlandığınızı bilmez

Üçüncü iddia bir tünelin destekleyemeyeceği iddiadır, çünkü paketler hâlâ yerel ağı geçer. O ağ uç noktanın adresini, yaklaşık hacmi, zamanlamayı ve tek bir uzun ömürlü şifreli oturumun varlığını öğrenir; bu da engellemeye, sınırlamaya ya da yalnızca fark etmeye yeter. Bir paketi okuyamayan güvenlik duvarı yine de geçirmeyi reddedebilir. Gözlenmek, hiç kimsenin gözlememesiyle aynı şey değildir: gözlemciyi taşıdınız, silmediniz.

Bölünmüş tünelleme ve dayatılan yolu yok sayan her uygulama, tünelin dışında tıpkı eskisi gibi görünen akışlar üretir. Dikkatli bir gözlemcinin ilk fark ettiği akışlar bunlardır ve istemcinin yönlendirme tablosu hangi hedeflerin hariç tutulduğunu gösterir.

Diğer uçtaki operatör o görünümün ayna görüntüsünü tutar: çıkış adresi, zamanlama, hacim ve genellikle site adları. Sağlayıcınız bakış noktasına sahip taraf olur, bu da görünmezlikten farklı bir pazarlıktır. Güvendiğiniz bir sağlayıcı seçmek gerçek bir karardır; sonucu gözlenmiyor diye adlandırmak değildir.

Hangi iddiaya ihtiyacınız olduğuna karar verin

Bir istemciye dokunmadan önce gereksinimi tek satırda yazın: içeriği sakla, hedefleri sakla ya da bağlanıp bağlanmadığını sakla. İçeriği HTTPS ve tünel zaten yönetir, hedefler ise sitenin donanımını tamamen atlayan bir çözümleyici ve yol gerektirir.

Üçüncü gereksinim can sıkıcı olandır, çünkü bir yerde hâlâ görünür biçimde bağlı bir şey vardır, şifreli olsun olmasın. Hiçbir istemci ayarı bunu değiştirmez. Gereksinim ile politika ayrışırsa o boşluk istemci seçeneğine değil, politikanın sahibiyle konuşmaya aittir. Buna yanıt verebilecek kişi politikayı yazan kişidir.