🥇ກວດພົບເຊດຊັນ OpenVPN ໃນການຈະລາຈອນຜ່ານແດນ

ກຸ່ມນັກຄົ້ນຄວ້າຈາກມະຫາວິທະຍາໄລ Michigan ເຜີຍແຜ່ຜົນຂອງການສຶກສາກ່ຽວກັບຄວາມເປັນໄປໄດ້ຂອງການກໍານົດ (VPN Fingerprinting) ການເຊື່ອມຕໍ່ກັບເຄື່ອງແມ່ຂ່າຍທີ່ອີງໃສ່ OpenVPN ເມື່ອຕິດຕາມການຈະລາຈອນຜ່ານແດນ. ດັ່ງນັ້ນ, ສາມວິທີການໄດ້ຖືກກໍານົດສໍາລັບການກໍານົດໂປໂຕຄອນ OpenVPN ໃນບັນດາແພັກເກັດເຄືອຂ່າຍອື່ນໆທີ່ສາມາດນໍາໃຊ້ໃນລະບົບການກວດກາການຈະລາຈອນເພື່ອສະກັດກັ້ນເຄືອຂ່າຍ virtual ທີ່ອີງໃສ່ OpenVPN.

ການທົດສອບວິທີການທີ່ສະເຫນີຢູ່ໃນເຄືອຂ່າຍຂອງຜູ້ໃຫ້ບໍລິການອິນເຕີເນັດ Merit, ທີ່ມີຜູ້ໃຊ້ຫຼາຍກວ່າຫນຶ່ງລ້ານຄົນ, ສະແດງໃຫ້ເຫັນຄວາມສາມາດໃນການກໍານົດ 85% ຂອງກອງປະຊຸມ OpenVPN ທີ່ມີລະດັບຕ່ໍາຂອງຜົນບວກທີ່ບໍ່ຖືກຕ້ອງ. ສໍາລັບການທົດສອບ, ຊຸດເຄື່ອງມືໄດ້ຖືກກະກຽມທີ່ທໍາອິດກວດພົບການຈາລະຈອນ OpenVPN ໃນເວລາບິນໃນໂຫມດຕົວຕັ້ງຕົວຕີ, ແລະຫຼັງຈາກນັ້ນກວດສອບຄວາມຖືກຕ້ອງຂອງຜົນໄດ້ຮັບໂດຍຜ່ານການກວດສອບເຄື່ອງແມ່ຂ່າຍທີ່ເຮັດວຽກ. ການໄຫຼວຽນຂອງການຈະລາຈອນທີ່ມີຄວາມຫນາແຫນ້ນປະມານ 20 Gbps ໄດ້ຖືກສະທ້ອນໃສ່ເຄື່ອງວິເຄາະທີ່ສ້າງໂດຍນັກຄົ້ນຄວ້າ.

ການກວດຫາເຊດຊັນ OpenVPN ໃນການຈະລາຈອນທາງຜ່ານ

ໃນລະຫວ່າງການທົດລອງ, ນັກວິເຄາະສາມາດກໍານົດຢ່າງສໍາເລັດຜົນ 1718 ອອກຈາກ 2000 ການທົດສອບການເຊື່ອມຕໍ່ OpenVPN ສ້າງຕັ້ງຂຶ້ນໂດຍລູກຄ້າ rogue, ເຊິ່ງໄດ້ນໍາໃຊ້ 40 ການຕັ້ງຄ່າ OpenVPN ປົກກະຕິທີ່ແຕກຕ່າງກັນ (ວິທີການເຮັດວຽກສົບຜົນສໍາເລັດສໍາລັບ 39 ອອກຈາກ 40 ການຕັ້ງຄ່າ). ນອກຈາກນັ້ນ, ໃນໄລຍະແປດມື້ຂອງການທົດລອງ, 3638 OpenVPN sessions ໄດ້ຖືກກໍານົດໃນການຈະລາຈອນຜ່ານ, ເຊິ່ງ 3245 sessions ໄດ້ຖືກຢືນຢັນ. ມັນໄດ້ຖືກສັງເກດເຫັນວ່າຂອບເຂດຈໍາກັດດ້ານເທິງຂອງຜົນບວກທີ່ບໍ່ຖືກຕ້ອງໃນວິທີການທີ່ສະເຫນີແມ່ນສາມຄໍາສັ່ງຂອງຂະຫນາດຕ່ໍາກວ່າວິທີການທີ່ສະເຫນີກ່ອນຫນ້ານີ້ໂດຍອີງໃສ່ການນໍາໃຊ້ການຮຽນຮູ້ເຄື່ອງຈັກ.

ປະສິດທິພາບຂອງວິທີການປ້ອງກັນການຕິດຕາມການຈະລາຈອນ OpenVPN ໃນການບໍລິການທາງການຄ້າໄດ້ຖືກປະເມີນແຍກຕ່າງຫາກ - ຈາກ 41 ວິທີການທົດສອບ VPNໃນบรรดาການບໍລິການທີ່ໃຊ້ວິທີການປິດບັງການຈະລາຈອນ OpenVPN, ການຈະລາຈອນໄດ້ຖືກລະບຸໃນ 34 ກໍລະນີ. ການບໍລິການທີ່ບໍ່ໄດ້ກວດພົບໄດ້ໃຊ້ຊັ້ນການປິດບັງການຈະລາຈອນເພີ່ມເຕີມນອກເໜືອໄປຈາກ OpenVPN (ຕົວຢ່າງ, ການກຳນົດເສັ້ນທາງການຈະລາຈອນ OpenVPN ຜ່ານອຸໂມງທີ່ຖືກເຂົ້າລະຫັດເພີ່ມເຕີມ). ການບໍລິການສ່ວນໃຫຍ່ທີ່ລະບຸໄດ້ສຳເລັດໄດ້ໃຊ້ການບິດເບືອນການຈະລາຈອນໂດຍໃຊ້ການດຳເນີນງານ XOR, ຊັ້ນການປິດບັງການຈະລາຈອນເພີ່ມເຕີມໂດຍບໍ່ມີການສຸ່ມການຈະລາຈອນທີ່ເໝາະສົມ, ຫຼື ການມີບໍລິການ OpenVPN ທີ່ບໍ່ໄດ້ປິດບັງຢູ່ໃນອັນດຽວກັນ. ເຄື່ອງແມ່ຂ່າຍ.

ວິທີການລະບຸຕົວຕົນທີ່ກ່ຽວຂ້ອງແມ່ນອີງໃສ່ການຜູກມັດກັບຮູບແບບສະເພາະ OpenVPN ໃນສ່ວນຫົວແພັກເກັດທີ່ບໍ່ໄດ້ເຂົ້າລະຫັດ, ຂະໜາດແພັກເກັດ ACK, ແລະການຕອບສະໜອງຂອງເຊີບເວີ. ໃນກໍລະນີທໍາອິດ, ການຜູກມັດກັບພາກສະຫນາມ "opcode" ໃນສ່ວນຫົວຂອງແພັກເກັດສາມາດຖືກນໍາໃຊ້ເປັນວັດຖຸສໍາລັບການກໍານົດໃນຂັ້ນຕອນການເຈລະຈາການເຊື່ອມຕໍ່, ເຊິ່ງໃຊ້ເວລາຂອບເຂດຄົງທີ່ຂອງຄ່າແລະການປ່ຽນແປງໃນບາງທາງຂຶ້ນຢູ່ກັບການເຊື່ອມຕໍ່. ຂັ້ນຕອນຂອງການຕັ້ງຄ່າ. ການກໍານົດແມ່ນຕົ້ມລົງໄປຫາການກໍານົດລໍາດັບທີ່ແນ່ນອນຂອງການປ່ຽນແປງ opcode ໃນ N-packets ທໍາອິດຂອງການໄຫຼ.

ວິທີທີສອງແມ່ນອີງໃສ່ຄວາມຈິງທີ່ວ່າແພັກເກັດ ACK ຖືກນໍາໃຊ້ໃນ OpenVPN ພຽງແຕ່ຢູ່ໃນຂັ້ນຕອນການເຈລະຈາການເຊື່ອມຕໍ່ແລະໃນເວລາດຽວກັນມີຂະຫນາດສະເພາະ. ການກໍານົດແມ່ນອີງໃສ່ຄວາມຈິງທີ່ວ່າແພັກເກັດ ACK ຂອງຂະຫນາດທີ່ກໍານົດໄວ້ເກີດຂຶ້ນພຽງແຕ່ໃນບາງສ່ວນຂອງເຊດຊັນ (ຕົວຢ່າງເຊັ່ນ, ເມື່ອໃຊ້ OpenVPN, ແພັກເກັດ ACK ທໍາອິດມັກຈະເປັນຊຸດຂໍ້ມູນທີສາມທີ່ສົ່ງໃນກອງປະຊຸມ).

ວິທີທີສາມແມ່ນການກວດສອບຢ່າງຫ້າວຫັນແລະເປັນຍ້ອນຄວາມຈິງທີ່ວ່າໃນການຕອບສະຫນອງຄໍາຮ້ອງຂໍການປັບການເຊື່ອມຕໍ່, ເຄື່ອງແມ່ຂ່າຍ OpenVPN ສົ່ງຊຸດ RST ສະເພາະ (ການກວດສອບບໍ່ໄດ້ເຮັດວຽກໃນເວລາທີ່ໃຊ້ໂຫມດ "tls-auth", ນັບຕັ້ງແຕ່ເຄື່ອງແມ່ຂ່າຍ OpenVPN. ບໍ່ສົນໃຈການຮ້ອງຂໍຈາກລູກຄ້າທີ່ບໍ່ໄດ້ຮັບການຢືນຢັນຜ່ານ TLS).