זיהוי הפעלות של OpenVPN בתעבורת מעבר

קבוצת חוקרים מאוניברסיטת מישיגן פרסמה את תוצאות מחקר על האפשרות לזהות (VPN Fingerprinting) חיבורים לשרתים מבוססי OpenVPN בעת ניטור תעבורת מעבר. כתוצאה מכך, זוהו שלוש שיטות לזיהוי פרוטוקול OpenVPN בין מנות רשת אחרות שניתן להשתמש בהן במערכות בדיקת תעבורה כדי לחסום רשתות וירטואליות מבוססות OpenVPN.

בדיקת השיטות המוצעות ברשת של ספקית האינטרנט Merit, שיש לה יותר ממיליון משתמשים, הראתה את היכולת לזהות 85% מההפעלות של OpenVPN עם רמה נמוכה של תוצאות חיוביות שגויות. לצורך בדיקה הוכנה ערכת כלים שזיהתה תחילה תעבורת OpenVPN תוך כדי תנועה במצב פסיבי, ולאחר מכן אימתה את נכונות התוצאה באמצעות בדיקת שרת אקטיבית. זרימת תעבורה בעוצמה של כ-20 ג'יגה-ביט לשנייה הושקפה על מנתח שנוצר על ידי החוקרים.

במהלך הניסוי, המנתח הצליח לזהות בהצלחה 1718 מתוך 2000 חיבורי OpenVPN לבדיקה שנוצרו על ידי לקוח נוכל, שהשתמש ב-40 תצורות OpenVPN טיפוסיות שונות (השיטה עבדה בהצלחה עבור 39 מתוך 40 תצורות). בנוסף, במהלך שמונת הימים של הניסוי, זוהו 3638 הפעלות של OpenVPN בתעבורת מעבר, מתוכם 3245 הפעלות אושרו. יצוין כי הגבול העליון של חיובי כוזב בשיטה המוצעת נמוך בשלושה סדרי גודל מאשר בשיטות שהוצעו בעבר המבוססות על שימוש בלמידת מכונה.

בנפרד, הוערכו הביצועים של שיטות הגנת מעקב תעבורה של OpenVPN בשירותים מסחריים - מתוך 41 שירותי VPN שנבדקו המשתמשים בשיטות הסתרת תעבורת OpenVPN, התעבורה זוהתה ב-34 מקרים. שירותים שלא ניתן היה לזהות השתמשו בשכבות נוספות בנוסף ל-OpenVPN כדי להסתיר תעבורה (לדוגמה, העברת תעבורת OpenVPN דרך מנהרה מוצפנת נוספת). רוב השירותים שזוהו בהצלחה השתמשו בעיוות תעבורה XOR, שכבות נוספות של ערפול ללא ריפוד תעבורה אקראי מתאים, או נוכחות של שירותי OpenVPN שאינם מעורפלים באותו שרת.

שיטות הזיהוי המעורבות מבוססות על כריכה לתבניות ספציפיות ל-OpenVPN בכותרות מנות לא מוצפנות, גדלי מנות ACK ותגובות שרת. במקרה הראשון, קשירה לשדה "opcode" בכותרת החבילה יכולה לשמש כאובייקט לזיהוי בשלב המשא ומתן על החיבור, אשר לוקח טווח קבוע של ערכים ומשתנה בצורה מסוימת בהתאם לחיבור שלב ההתקנה. הזיהוי מסתכם בזיהוי רצף מסוים של שינויים בקוד ב-N-מנות הראשונות של הזרימה.

השיטה השנייה מבוססת על העובדה שמנות ACK משמשות ב-OpenVPN רק בשלב המשא ומתן על החיבור ובמקביל בעלות גודל ספציפי. זיהוי מבוסס על העובדה שחבילות ACK בגודל נתון מתרחשות רק בחלקים מסוימים של הפגישה (לדוגמה, בעת שימוש ב-OpenVPN, חבילת ה-ACK הראשונה היא בדרך כלל חבילת הנתונים השלישית הנשלחת בסשן).

השיטה השלישית היא בדיקה אקטיבית ונובעת מכך שבתגובה לבקשת איפוס חיבור, שרת OpenVPN שולח חבילת RST ספציפית (הבדיקה לא עובדת בשימוש במצב "tls-auth", שכן שרת OpenVPN מתעלם מבקשות מלקוחות שלא אומתו באמצעות TLS).

מקור: OpenNet.ru