Việc phát hiện VPN phụ thuộc vào nơi bạn quan sát

Hai bộ phát hiện có thể quan sát cùng một người dùng và bất đồng, cả hai đều đúng. Quan sát viên bên cạnh liên kết truy cập thấy cuộc trò chuyện bên ngoài của VPN; trang web thấy kết nối ứng dụng đến từ lối ra. Đây là những kết nối khác nhau với dấu vân tay khác nhau, và bằng chứng của cái này không chuyển sang cái kia. Gọi tên điểm quan sát trước khi thảo luận bất kỳ thử nghiệm TLS hay TCP nào là điều làm cho tuyên bố có ý nghĩa.

Bộ phát hiện không nêu điểm quan sát đang mô tả ý kiến, không phải phép đo.

Hai điểm quan sát, hai kết nối khác nhau

Cuộc trò chuyện bên ngoài thuộc về giao thức đường hầm: định dạng thông điệp riêng, máy trạng thái riêng, thời gian riêng. Kết nối bên trong là trình duyệt mở TLS tới trang web, được mang qua đường hầm và sau đó được chuyển tiếp từ lối ra. Cả hai cùng tồn tại tại một thời điểm và chúng không phải cùng một luồng. Một cái là thứ mạng truy cập có thể thấy, cái kia là thứ đích đến có thể thấy, và một hộp trung gian kết thúc một trong hai sẽ thay đổi cả hai hình ảnh.

Sự khác biệt đó giải thích phần lớn sự nhầm lẫn trong các cuộc thảo luận về phát hiện. Một thử nghiệm báo cáo một điều về một luồng thường trả lời câu hỏi về một lớp khác với lớp mà người vận hành nghĩ tới.

Quan sát viên trên đường truy cập thấy gì

Bên cạnh liên kết truy cập, vật liệu nhìn thấy được chính là giao thức đường hầm: các loại gói điều khiển và dữ liệu cho OpenVPN, các mẫu bắt tay và dữ liệu có kích thước cố định của WireGuard, hoặc bất kỳ lớp bọc nào mà việc triển khai thêm vào. Liệu một bộ phân loại có thể nhận diện chúng hay không phụ thuộc vào thứ gì được nhìn thấy, phương tiện vận chuyển nào mang chúng và có thêm lớp làm mờ nào không. Một mẫu dễ nhận biết là bằng chứng về một luồng, và không phải bằng chứng về danh tính hay ý định của người đứng sau nó.

Cổng 443 là một quy ước để tiếp cận một dịch vụ. Nó không biến mọi phương tiện vận chuyển đường hầm thành HTTPS.

Trang web thực sự thấy gì

Với một đường hầm được định tuyến, trình duyệt vẫn chạy phiên TLS riêng của nó với trang. Việc chuyển đổi tại lối ra không biến cổng VPN thành điểm cuối TLS của trình duyệt, vì vậy ClientHello mà trang nhận được mô tả trình duyệt hoặc thư viện TLS của nó. Do đó một dấu vân tay kiểu JA3 đặc trưng cho kết nối ứng dụng, không phải phần mềm VPN mang nó. Chỉ một proxy kết thúc có chủ đích mới thay đổi cách bố trí đó, và nó phải được nhận diện riêng.

Các quan sát TCP cũng cần sự cẩn trọng như vậy. Chuyển tiếp, chuyển đổi và một proxy mở kết nối mới là ba thiết kế khác nhau, và chỉ một trong số chúng viết lại ngăn xếp vận chuyển. Một đặc điểm bất thường duy nhất không ngụ ý một đường hầm một cách duy nhất.

Giữ tuyên bố trong phạm vi bằng chứng

Phân loại mạng, quan sát giao thức, dấu vân tay ứng dụng và tín hiệu tài khoản là đầu vào cho một quyết định rủi ro, mỗi thứ đều có dương tính giả, âm tính giả và bằng chứng thiếu. Một địa chỉ trong dải lưu trữ không chứng minh gì về một VPN thương mại, và một dấu vân tay trình duyệt phổ biến không chứng minh gì về một VPN trực tiếp. Khi đánh giá một bộ phát hiện, hãy dùng một bộ dữ liệu được cấp phép với các đường đi đã biết và ghi lại quan sát nào đã tạo ra từng kết quả.

Giữ phân loại giao thức tách khỏi một quyết định truy cập có hậu quả. Một phản hồi tùy chỉnh hay một mẹo gói méo không xác nhận suy luận phía sau nó; nó chỉ gây áp lực lên một phỏng đoán.

Một báo cáo hữu ích nêu tên quan sát, điểm quan sát và độ tin cậy. Một dòng «phát hiện VPN» trần trụi che giấu đúng phần cho phép ai đó kiểm chứng nó.