En grupp forskare frÄn Michigan University har publicerat resultaten av en studie om möjligheten att identifiera (VPN Fingerprinting) anslutningar till servrar baserade pÄ OpenVPN vid övervakning av transit trafik. Resultatet visade tre sÀtt att identifiera OpenVPN-protokollet bland andra nÀtverkspaket, som kan anvÀndas i system för trafikinspektion för att blockera virtuella nÀtverk baserade pÄ OpenVPN.
Testning av de föreslagna metoderna i internetleverantören Merits nÀtverk, som har mer Àn en miljon anvÀndare, visade att 85 % av OpenVPN-sessionerna kunde identifieras med en lÄg nivÄ av falska positiva. För att verifiera detta förberedes ett verktyg som först passivt identifierade OpenVPN-trafik i realtid och dÀrefter bekrÀftade resultatet genom aktiv kontroll av servern. Den analyserare som forskarna skapade speglade trafikflödet med en intensitet pÄ cirka 20 Gbps.
Under experimentet kunde analyseraren framgÄngsrikt identifiera 1718 av 2000 testade OpenVPN-anslutningar, etablerade av en falsk klient, dÀr 40 olika standardkonfigurationer av OpenVPN anvÀndes (metoden fungerade framgÄngsrikt för 39 av 40 konfigurationer). Dessutom upptÀcktes under de Ätta dagar som experimentet pÄgick 3638 OpenVPN-sessioner i transittrafiken, av vilka 3245 sessioner bekrÀftades. Det observeras att den övre grÀnsen för falska positiva i den föreslagna metoden Àr tre ordningar lÀgre Àn i tidigare föreslagna metoder baserade pÄ maskininlÀrning.
Separat bedömdes arbetet med metoder för att skydda mot spĂ„rning av OpenVPN-trafik i kommersiella tjĂ€nster â av 41 testade VPN-tjĂ€nster som anvĂ€nder metoder för att dölja OpenVPN-trafik lyckades trafiken identifieras i 34 fall. TjĂ€nster som inte kunde upptĂ€ckas anvĂ€nde, förutom OpenVPN, ytterligare lager för att dölja trafiken (t.ex. genom att köra OpenVPN-trafik genom en ytterligare krypterad tunnel). I de flesta av de framgĂ„ngsrikt identifierade tjĂ€nsterna anvĂ€ndes trafikdistorision genom XOR-operation, ytterligare lager av obfuskering utan tillrĂ€cklig slumpmĂ€ssig komplettering av trafiken eller förekomsten av obfuskade OpenVPN-tjĂ€nster pĂ„ samma servern.
De anvÀnda identifikationsmetoderna bygger pÄ kopplingar till specifika OpenVPN-mallar i okrypterade paketrubriker, storleken pÄ ACK-paket och serverns svar. I det första fallet kan kopplingar till fÀltet "opcode" i paketrubriken anvÀndas som objekt för identifikation under förhandlingen av anslutningen. Detta fÀlt har ett fast vÀrdeintervall och Àndras pÄ ett specifikt sÀtt beroende pÄ vilket steg i anslutningsinstallationen som pÄgÄr. Identifikationen gÄr ut pÄ att identifiera en viss sekvens av förÀndringar i opcode under de första N-paketen av strömmen.
Den andra metoden baseras pÄ att ACK-paket endast anvÀnds i OpenVPN under förhandlingsfasen av anslutningen och dessutom har en specifik storlek. Identifikationen baseras pÄ att ACK-paket av den angivna storleken endast förekommer i specifika delar av sessionen (till exempel Àr det första ACK-paketet vanligtvis det tredje paketet med data som överförs under sessionen).
Den tredje metoden innebÀr en aktiv kontroll och beror pÄ att servern OpenVPN skickar ett specifikt RST-paket som svar pÄ en begÀran om att ÄterstÀlla anslutningen (kontrollen fungerar inte nÀr "tls-auth"-lÀget anvÀnds, eftersom OpenVPN-servern dÄ ignorerar begÀrningar frÄn klienter som inte autentiserats via TLS).
KĂ€lla: opennet.ru
