Un gruppo di ricercatori dell'Università del Michigan ha pubblicato i risultati di uno studio sulla possibilità di identificare (VPN Fingerprinting) le connessioni ai server basati su OpenVPN durante il monitoraggio del traffico di transito. Alla fine sono stati identificati tre metodi di identificazione del protocollo OpenVPN rispetto ad altri pacchetti di rete, utilizzabili nei sistemi di ispezione del traffico per bloccare le reti virtuali basate su OpenVPN.
Il test dei metodi proposti nella rete del provider internet Merit, che conta oltre un milione di utenti, ha mostrato la possibilità di identificare l'85% delle sessioni OpenVPN con un basso livello di falsi positivi. Per la verifica è stato preparato un tool che inizialmente identificava passivamente il traffico OpenVPN in tempo reale, e poi confermava la correttezza dei risultati attraverso un controllo attivo del server. Il flusso di traffico è stato specchiato sull'analizzatore creato dai ricercatori, con un'intensità di circa 20 Gbps.
Durante l'esperimento, l'analizzatore è riuscito a identificare con successo 1718 delle 2000 connessioni OpenVPN di prova stabilite da un client fittizio, su cui sono state utilizzate 40 diverse configurazioni tipo di OpenVPN (il metodo ha funzionato con successo per 39 su 40 configurazioni). Inoltre, nei 8 giorni di esperimento sono state identificate 3638 sessioni OpenVPN nel traffico di transito, di cui sono state confermate 3245 sessioni. Si segnala che il tasso massimo di falsi positivi nel metodo proposto è tre ordini di grandezza inferiore a quello dei metodi precedentemente suggeriti, basati sull'uso del machine learning.
È stata valutata separatamente l'efficacia dei metodi di protezione contro il tracciamento del traffico OpenVPN nei servizi commerciali: su 41 servizi testati, VPN-il traffico è stato identificato in 34 casi. I servizi che non sono stati identificati, oltre a OpenVPN, utilizzavano strati aggiuntivi per nascondere il traffico (ad esempio, instradando il traffico OpenVPN attraverso un tunnel crittografato aggiuntivo). Nella maggior parte dei servizi identificati con successo è stata utilizzata la distorsione del traffico tramite l'operazione XOR, strati aggiuntivi di offuscamento senza un corretto arricchimento casuale del traffico o la presenza di servizi OpenVPN non offuscati nello stesso. server.
I metodi di identificazione utilizzati si basano sul collegamento a modelli specifici di OpenVPN negli header dei pacchetti non crittografati, sulla dimensione dei pacchetti ACK e sulle risposte del server. Nel primo caso, come oggetto per l'identificazione nella fase di negoziazione della connessione può essere usato il collegamento al campo 'opcode' nell'header dei pacchetti, che assume un intervallo di valori fisso e cambia in modo specifico a seconda della fase di instaurazione della connessione. L'identificazione consiste nell'individuare una determinata sequenza di variazione dell'opcode nei primi N pacchetti del flusso.
Il secondo metodo si basa sul fatto che i pacchetti ACK sono utilizzati in OpenVPN solo nella fase di negoziazione della connessione e hanno una dimensione specifica. L'identificazione si basa sul fatto che i pacchetti ACK di dimensione specificata si trovano solo in determinate parti della sessione (ad esempio, utilizzando OpenVPN, il primo pacchetto ACK è di solito il terzo pacchetto con i dati trasmessi nella sessione).
Il terzo metodo è una verifica attiva ed è legato al fatto che in risposta a una richiesta di reset della connessione, il server OpenVPN invia un determinato pacchetto RST (la verifica non funziona con la modalità 'tls-auth' poiché il server OpenVPN ignora le richieste dai client non autenticati tramite TLS).
Fonte: opennet.ru
