Mahalliy tarmoq VPN orqali hali ham nimani ko‘radi

Kimdir VPN o‘z trafigini yashiraymi deb so‘raganda uchta kuzatuvchi bitta savolga birlashadi: u ulangan tarmoq, uning qo‘lidagi mashina va tunnel operatori. Har biri boshqa narsani o‘rganadi, tunnel esa bu qarashlarning har birini boshqacha o‘zgartiradi. Teskari yo‘nalishda ishlash va ilgari surilgan da’vodan boshlash foydali, chunki tekshiruvga bardosh berishi kerak bo‘lgan narsa o‘sha da’vo. Qaysi da’vo kerakligini hal qiling, so‘ngra vositalarni u bilan solishtiring.

Birinchi da’vo: hech kim trafikni o‘qiy olmaydi

Eng tor da’vodan boshlang: foydali yuk o‘qilmaydigan holda qoladi. Yo‘ldagi passiv kuzatuvchi TLS sessiyasi ichini ko‘ra olmaydi, shuning uchun tunnel allaqachon HTTPS ishlatadigan saytga ozgina qo‘shadi va ikki chekkaga qarshi hech narsa qo‘shmaydi. Bu da’voni qurilmani boshqaradigan kishi buzadi, chunki tekshirish proksisi ulanishni tugatadi va uni mashina allaqachon ishonadigan ildiz bilan qayta imzolaydi. Shuning uchun sertifikat zanjirida ildizni o‘rnatgan tashkilot nomi turgan bo‘lsa ham qulf hali ko‘rinadi.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

macOS da bu quvur mashinaning kalit bog‘lamidagi har bir sertifikat uchun bitta mavzu satrini chiqaradi, oyna ochmasdan, Windows da esa certutil -store Root certlm.msc grafik ko‘rinishda ko‘rsatadigan o‘sha omborni sanab chiqadi. Maktab, ish beruvchi yoki tarmoq xavfsizligi mahsulotiga tegishli ildiz izlash kerak bo‘lgan yozuv. Bittasini topish faqat tinglash mumkinligini isbotlaydi, uning sodir bo‘layotganini emas.

Bu haqda nima qila olishingiz texnika emas, siyosat masalasidir. O‘zingizga tegishli bo‘lmagan apparatdan profil yoki tekshirish ildizini olib tashlash odatda maqbul foydalanish shartnomasini buzadi va boshqaruv tizimi buni sezib qayta qo‘llaydi, shuning uchun qurilma egasi sizning trafigingizni o‘qimasligi sharti boshqa sozlamani emas, boshqa qurilmani talab qiladi.

Ikkinchi da’vo: hech kim qayerga ketayotganingizni ko‘rmaydi

Manzil qiyinroq da’vo, chunki sahifa yuklanishidan oldin ikkita oshkor bo‘ladi. So‘rov tizim foydalanishga sozlangan hal qiluvchiga boradi va javob uni tashuvchi tarmoqqa ko‘rinadi. So‘ngra TLS qo‘l siqishi so‘ralgan server nomini ochiq holda tashiydi, agar Encrypted Client Hello ikki chetda qo‘llab-quvvatlanmasa. Ikkala oshkor ham shifrni ochishni o‘z ichiga olmaydi, shuning uchun tunnel ikkalasiga ham ta’sir qilmaydi.

resolvectl status | grep -A2 "Link"
nslookup example.com

Qaysi hal qiluvchi haqiqatda ishlatilayotgani oshkorlik darajasini belgilaydi va buni bahslashmasdan o‘lchash mumkin. Linux da resolvectl status har bir ulanish uchun DNS serverlarini chiqaradi va uning chiqishi sayt hal qiluvchisi javob beryaptimi yoki majburlangani. Windows o‘sha savolga nslookup example.com bilan javob beradi, uning chiqishining birinchi bloki javob bergan DNS serverdir.

Noutbuk tunnel ko‘tarilishidan oldin sayt hal qiluvchisidan so‘rasa, yoki profil almashtiruvchi serversiz kelsa va eskisi ishlatilishda qolsa, administrator hech narsani shifrdan chiqarmasdan xost nomlarini yig‘averadi. Brauzerdagi shifrlangan DNS yo majburlangan hal qiluvchini chetlab o‘tadi, yo butunlay bloklanib yopiq holatda muvaffaqiyatsiz bo‘ladi. Chiqish operatori o‘z tomondan o‘sha nomlarni ko‘radi. Shuning uchun hal qiluvchini almashtirish bu oshkorlikni tunnel provayderidan uzoqlashtirmaydi.

Uchinchi da’vo: hech kim siz ulanishingizni bilmaydi

Uchinchi da’vo tunnel qo‘llab-quvvatlay olmaydigan da’vo, chunki paketlar hali ham mahalliy tarmoqdan o‘tadi. O‘sha tarmoq chekka manzilini, taxminiy hajmni, vaqtni va bitta uzoq muddatli shifrlangan sessiya mavjudligini bilib oladi, bu esa bloklash, cheklash yoki shunchaki payqash uchun yetarli. Paketni o‘qiy olmaydigan tarmoq devori ham uni o‘tkazishdan bosh tortishi mumkin. Kuzatilish hech kim kuzatmasligi bilan bir xil emas: siz kuzatuvchini ko‘chirdingiz, o‘chirmadingiz.

Bo‘lingan tunnellashtirish va majburlangan marshrutni e’tiborsiz qoldiradigan har qanday ilova tunneldan tashqarida avvalgidek ko‘rinadigan oqimlar hosil qiladi. Aynan shu oqimlarni sinchkov kuzatuvchi birinchi bo‘lib payqaydi, mijozning marshrut jadvali esa qaysi manzillar chiqarib tashlanganini ko‘rsatadi.

Narigi tomondagi operator o‘sha manzaraning ko‘zgu tasvirini ushlab turadi: chiqish manzili, vaqt, hajm va odatda sayt nomlari. Sizning provayderingiz kuzatish nuqtasiga ega tomon bo‘ladi, bu esa ko‘rinmaslikdan boshqa bitim. Ishonadigan provayderni tanlash haqiqiy qaror; natijani kuzatilmagan deb atash esa unday emas.

Qaysi da’vo kerakligini hal qiling

Mijozga tegishdan oldin talabni bir satrga yozing: tarkibni yashiring, manzillarni yashiring yoki umuman ulanganingizni yashiring. Tarkibni HTTPS va tunnel allaqachon boshqaradi, manzillar esa sayt uskunalarini butunlay chetlab o‘tadigan hal qiluvchi va yo‘lni talab qiladi.

Uchinchi talab noqulay, chunki biror joyda hali ham ko‘rinadigan tarzda ulangan narsa bor, shifrlangan bo‘ladimi yo yo‘q. Hech qanday mijoz sozlamasi buni o‘zgartirmaydi. Agar talab va siyosat ajralib ketsa, bu bo‘shliq siyosat egasi bilan suhbatga tegishli, mijoz tanloviga emas. Bunga javob bera oladigan kishi siyosatni yozgan kishi.