Domanda:
Il mio ISP utilizza un'ispezione approfondita dei pacchetti; cosa possono osservare?
cppanonhelp666
2017-03-27 22:33:49 UTC
view on stackexchange narkive permalink

Ho scoperto che il mio ISP esegue un'ispezione approfondita dei pacchetti. Può vedere il contenuto delle connessioni HTTPS? L'HTTPS non garantirebbe che non possano vedere i contenuti trasferiti?

E avere una VPN può proteggermi dall'ispezione approfondita dei pacchetti da parte degli ISP?

Mi ha fatto immediatamente pensare a [questo] (http://4.bp.blogspot.com/-jZp1bLp3Q_A/TfhrQmNJvJI/AAAAAAAAAgI/wso4_M0pucs/s1600/Screen+shot+2011-06-15+at+10.19.45.png).
Questo non vale una risposta completa, ma penso che possa essere molto utile per capire chi può vedere cosa nel tuo traffico.È ovviamente progettato per Tor, ma c'è anche un pulsante HTTPS: [Tor e HTTPS] (https://www.eff.org/pages/tor-and-https)._data_ e _user / pw_ è ciò che corrisponderebbe a "ispezione approfondita dei pacchetti".
come fai a sapere che il tuo ISP sta facendo DPI?
@SpaceDog: è richiesto dalla legge in alcuni paesi, il che rende molto facile dire che il proprio ISP lo sta facendo!
@SpaceDog, uno dei loro dipendenti ha accettato in modo anonimo di aver eseguito DPI a qualche notizia.
Sì alla VPN !!!Tutto ciò che vedrebbero è l'IP del tuo endpoint VPN!Se sei preoccupato e sei disposto a spendere soldi per VPN, fallo, il motivo principale per cui non lo faccio è che la velocità sarà influenzata
DPI è anche legale?In che paese vivi?
@FreeSoftwareServers dato che la maggior parte dei server VPN ha connessioni la cui larghezza di banda supera di gran lunga la connessione Internet domestica media in diversi paesi, il rallentamento non sarebbe causato dalla VPN (beh OK, escluso il sovraccarico di crittografia che potrebbe essere considerato trascurabile).
Sette risposte:
Trey Blalock
2017-03-27 23:05:43 UTC
view on stackexchange narkive permalink

Deep Packet Inspection, noto anche come ispezione completa dei pacchetti, significa semplicemente che stanno analizzando tutto il tuo traffico invece di acquisire solo informazioni di connessione come a quale IP ti stai connettendo, quale numero di porta, quale protocollo e possibilmente alcuni altri dettagli sulla connessione di rete.

Questo è normalmente discusso in contrasto con la raccolta di informazioni NetFlow che raccoglie principalmente le informazioni sopra elencate.

L'ispezione approfondita dei pacchetti fornisce al tuo provider molte informazioni sulle tue connessioni e abitudini di Utilizzo di Internet. In alcuni casi, verrà catturato l'intero contenuto di cose come le e-mail SMTP.

HTTPS crittografa le connessioni ma il tuo browser deve effettuare richieste DNS che vengono inviate principalmente tramite UDP in modo che i dati vengano raccolti così come qualsiasi link non crittografato o cookie non crittografato inviato in modo errato senza https. Questi bit aggiuntivi che verranno raccolti potrebbero essere molto indicativi del tipo di contenuto che stai guardando.

La preoccupazione maggiore per la maggior parte delle persone riguarda l'aggregazione dei dati , raccogliendo queste informazioni un data scientist potrebbe creare un'impronta digitale per l'utilizzo di Internet e successivamente associarla ad attività o attività passate da altri luoghi (quando si è al lavoro o in vacanza). Allo stesso modo, il tuo fornitore di servizi può scegliere di venderlo a un numero qualsiasi di organizzazioni (possibilmente comprese organizzazioni criminali) dove potrebbe essere utilizzato contro di te in modi diversi. In molti paesi, le persone si aspettano che le loro comunicazioni siano considerate private e la raccolta di questi dati va decisamente contro tale aspettativa di privacy.

Un altro aspetto interessante di questo è nei casi come gli Stati Uniti, in cui questi dati potrebbero presto essere venduti, consente la vendita anche di comunicazioni internazionali inviate a persone o server negli Stati Uniti . Allo stesso modo, questo potrebbe potenzialmente consentire a ogni agenzia delle forze dell'ordine locali, militari, autorità fiscali, autorità per l'immigrazione, politici, ecc. Un modo per aggirare leggi di vecchia data che hanno impedito loro di accedere a questo tipo di informazioni, o importanti sottoinsiemi informativi all'interno questi dati altrimenti.

Una preoccupazione leggermente diversa quando questi dati possono essere venduti è l'intelligence competitiva / lo spionaggio aziendale. Nello scenario in cui un'azienda svolge molto lavoro ad alta intensità di ricerca presso la propria sede situata in una piccola località geografica (si pensi a prodotti farmaceutici o un appaltatore della difesa) la vendita di tali dati consente a chiunque di acquistare tutto il traffico dall'ISP locale dove la maggior parte di quei ricercatori vive e analizza ciò che sta cercando quando è a casa, possibilmente anche direttamente dall'ISP che ospita il traffico per la loro sede aziendale. Se altri paesi non vendono dati simili, offre alle società straniere e alle società abbastanza sagge da provare ad acquistare questi dati un enorme vantaggio tecnico. Allo stesso modo, consentirebbe anche ai governi stranieri di acquistare il traffico ISP che include i dati dalle case dei funzionari statunitensi (o di altri governi).

Immagina che le aziende monitorino il comportamento dei loro dipendenti a casa o sui loro dispositivi mobili.

Ciò avrà probabilmente un effetto raggelante anche su attivisti e informatori.

Allo stesso modo, se le carte di credito o le PII vengono inviate in chiaro a un sito remoto scarsamente protetto, il set di dati del tuo ISP ora ha un potenziale problema normativo PCI o PII tra le mani. Quindi questo amplifica i problemi di fuga di dati di tutti i tipi facendo copie aggiuntive dei dati trapelati.

Con gli esempi che ho appena menzionato sopra, e ce ne sono centinaia di altri, dovrebbe essere facile capire perché questo tipo di raccolta di dati ha un diverso livello di importanza rispetto ai soli metadati o alle informazioni di connessione di base. Anche se il tuo ISP non vende mai questi dati, sta raccogliendo un set di dati piuttosto interessante.

È un problema di sicurezza che ha sicuramente molte potenziali implicazioni sulla sicurezza a lungo termine.

"In molti paesi, le persone si aspettano che le loro comunicazioni siano considerate private e la raccolta di questi dati va decisamente contro l'aspettativa di privacy".Tuttavia, sembra che a certi membri del governo degli Stati Uniti non piaccia.
In molti paesi dell'UE la vendita di questi dati sarebbe contraria alle aspettative sulla privacy delle persone E contro la legge.Altri paesi non sono così preoccupati per la privacy.
Almeno in Germania, l'ispezione approfondita dei pacchetti è illegale.
In Francia, DPI è un luogo comune, almeno per uno dei principali ISP storici (vi lascio indovinare quale).
Se stai facendo DPI ci sono buone possibilità che tu possa sfruttare la sicurezza implementata in modo imperfetto per vedere anche all'interno di HTTPS ecc.Certamente i servizi di sicurezza possono.La mia ipotesi di base è che * qualcuno da qualche parte * possa vedere tutto ciò che faccio online.
@A.Hersean: Trovo che sia tanto più sorprendente vedere quanto siano pesantemente regolamentate le intercettazioni delle comunicazioni telefoniche (o almeno lo era quando ho fatto il mio tirocinio ... 10 anni fa).
Anche senza l'aspetto DNS, TLS con SNI (che è quello che è comunemente usato oggi) trasmette il nome host in chiaro nello scambio TLS iniziale, prima che la crittografia sia impostata.
@A.Hersean Sono abbastanza sicuro che non siano in grado di vendere quelle informazioni a terzi però ... quindi l'unica cosa che potrebbero fare è: indovina quanto traffico usi in streaming rispetto ad altre cose e fatturare gli importi in modo diverso o qualcosa del generecome quello.
@Bakuriu FYI: C'è un disegno di legge in corso al Congresso proprio ora per consentire agli ISP di vendere questi dati.https://www.eff.org/deeplinks/2017/03/five-creepy-things-your-isp-could-do-if-congress-repeals-fccs-privacy-protections
@TreyBlalock Questo è irrilevante ... almeno fino a quando gli Stati Uniti non invaderanno la Francia.
@JohnU: È improbabile e la tua richiesta è un grave disservizio.Non c'è modo di "vedere dentro" HTTPS senza attacchi attivi che non solo ispezionano il contenuto ma lo cambiano.Il software client moderno non lo consentirà a meno che non sia stato backdoor (possibile se l'ISP ti ha indotto a installare il software fornito) e gli utenti esperti ** noteranno ** tali attacchi attivi, rendendoli ad alto rischio per l'attaccante.Quindi, per scopi pratici, no, nessuno "vede dentro" il tuo HTTPS.
@Magisch: avresti qualche fonte per tale affermazione sull'illegalità del DPI in Germania?Ciò avrebbe un grave impatto su molti firewall "intelligenti" che si basano su alcuni modelli di comunicazione specifici per identificare il traffico.
@WoJ Penso che sia illegale farlo solo per gli ISP.Lo approfondirò e cercherò la fonte quando avrò tempo.
La fuga di informazioni DNS può essere mitigata con DNS / TLS (che non è ampiamente supportato).Ma poi SNI, perde comunque il dominio di destinazione.
@R .. Da quello che ho letto da artisti del calibro di Risks Digest, Bruce Schneier, ecc. Non è affatto impossibile / non plausibile che ci siano bug, difetti, configurazioni errate, ecc. Anche ignorando le backdoor o altri accessi segreti in corso.Qualunque sia la probabilità, dal momento che sono meno che infinite è buona norma presumere che qualcuno che vuole vedere le tue comunicazioni _può_ farlo e agire di conseguenza.La legalità è un punto controverso, non ci aspettiamo che i nostri spettri giochino delicatamente quando proteggono la nostra sicurezza e di certo non ci aspetteremmo un comportamento da gentiluomo da cattivi attori.
Giusto per essere pedanti: * "nei casi come gli Stati Uniti in cui questi dati possono ora essere venduti" * Presumendo che ti riferisca a sentenze recenti, la frase "ora può essere venduta" non è abbastanza precisa, poiché non c'è mai stato un motivomomento in cui * non * poteva * essere venduto - quegli atti di protezione della privacy che erano stati preconfezionati non avrebbero avuto effetto fino alla fine di quest'anno comunque, quindi nulla in realtà * è cambiato *.La sentenza ha interrotto il cambiamento che * stava per * avvenire presto.Tuttavia, non esiste un * nuovo * rischio.Ho pensato che fosse importante sottolinearlo poiché ci sono stati molti malintesi su questa notizia recente e calda.
@JohnU: Sono tutti attacchi attivi, il che significa che non possono essere schierati su larga scala / rete a strascico perché la probabilità di essere scoperti si avvicina rapidamente a 1.0 con l'aumentare del numero di vittime.La possibilità di un attacco passivo equivale essenzialmente a rompere la crittografia sottostante.
Inoltre, alcuni commenti menzionano SNI ma anche senza di esso il server presenterebbe il suo certificato non crittografato che di solito contiene CN.
MiaoHatola
2017-03-27 23:24:22 UTC
view on stackexchange narkive permalink

La risposta di Trey Blalock descrive in modo tangibile cos'è l'ispezione approfondita dei pacchetti (DPI). Ma vorrei aggiungere tre cose per sperare di rispondere alle tue domande specifiche:

  1. Esiste una tecnica di DPI che fa decrittografare i tuoi dati, chiamata intercettazione SSL, sebbene è più comune nelle situazioni aziendali e possibile solo se l'ISP (o qualsiasi altro intercettore) ha la capacità di installare un certificato sulla macchina. Quindi, a meno che l'ISP non abbia un modo per farlo (tecnico ecc.), Questo è probabilmente fuori discussione.
  2. HTTPS impedirebbe all'ISP di leggere i dati. Naturalmente, questo è vero solo per i servizi che utilizzano HTTPS (che purtroppo non è tutti). Inoltre è necessario considerare che l'ISP può leggere i metadati indipendentemente dal fatto che la connessione sia crittografata o meno.
  3. Una VPN ti proteggerà dai DPI eseguiti dall'ISP (non dal provider VPN). Questo grazie al fatto che le VPN utilizzano un tunnel crittografato per connetterti al "nodo di uscita". Questo crittografa tutto il tuo traffico e tutti i metadati mostreranno i pacchetti che lasciano il tuo computer e vanno al server VPN (quindi non rivelano il server effettivo a cui stai accedendo).
Si noti che alcuni ISP (ad esempio Deutsche Telekom) sono essi stessi Autorità di certificazione accettate.
@JonasWielicki Ottimo punto.Questo deve essere preso in considerazione!
Potresti ancora avere una perdita DNS utilizzando una VPN che può far sapere al tuo ISP quali domini stai visitando su di essa.
@JonasWielicki anche se questo sarebbe illegale per loro a causa delle leggi dell'UE, penso?
@Tim Non conosco le leggi dell'UE (o tedesche) in merito.Ma considerando che abbiamo un servizio di posta elettronica "sicuro" supportato dallo stato in cui gli MSP possono decrittografare presumibilmente "end-to-end" (no, non lo è, a meno che tu non conti l'MSP come "end") per eseguirecontrollo di spam e virus, non sono sicuro di dover fidarmi di quelle leggi.
L'uso di HTTPS crittografa solo il contenuto di una pagina, giusto?Quindi, indipendentemente dal DPI, il mio ISP non saprebbe che sto visitando questo particolare sito Web?
@cppanonhelp666 Sì.L'ho notato alla fine del secondo punto.
@JonasWielicki Anche se vero, non sarebbe durato a lungo se usassero il loro stato CA per eseguire DPI.Tra WoSign e Symantec (anche se in misura minore), non credo che sarebbero risparmiati se generassero certificati per intercettare le connessioni SSL.
@Ginnungagap Giusto, il monitoraggio delle CA dei certificati è migliorato di recente.
@JonasWielicki: Sebbene esista una minaccia teorica / tecnica di tale abuso, sarebbe illegale in molte giurisdizioni e costituirebbe una violazione delle politiche che le CA sono tenute a seguire per mantenere la fiducia del browser.A qualsiasi scala non banale (fondamentalmente, qualsiasi attacco non mirato o attacco mirato di utenti esperti) questo verrebbe rapidamente catturato.
@emilhem Mi aspetto che tutto il traffico DNS viaggi (in modo sicuro) tramite la connessione VPN.Non è questo il caso?In ogni caso, la VPN deve uscire da qualche parte e deve connettersi alla rete tramite un ISP (possibilmente diverso), quindi in realtà stai solo spingendo il problema da qualche altra parte a quel punto.
Il punto 1 può essere mitigato / smascherato utilizzando HSTS sebbene ciò debba essere implementato sia dal produttore del browser che dal sito, anche se ciò non impedirebbe la visibilità delle intestazioni iniziali.
RE Punto 1, so di aver visto almeno una domanda qui o su superuser, da una persona il cui ISP li costringeva a installare manualmente un certificato MITM (IIRC per supportare lo snooping governativo) negli ultimi due anni.
@jpaugh non sempre.Dipende dal tipo di software VPN e dalla sua versione.Facendo una semplice ricerca per "DNS leak [VPN software]" vengono visualizzati i problemi nei diversi software VPN e come mitigare le perdite DNS.
@emilhem Il mantenimento di un server DNS locale mitiga questo problema o apre una serie diversa di problemi?
@KennethK.può essere.Dipende se il tuo server DNS locale utilizza la VPN o meno.In effetti potrebbe essere peggio se non usi la VPN poiché la ricerca DNS effettiva proviene dalla tua rete e non da un server DNS pubblico (come Google DNS) ma il tuo ISP potrebbe utilizzare ricerche DNS trasparenti, quindi potresti essere fottuto comunque.Uso https://dnsleaktest.com/ per verificare se ho o meno una perdita.Uso anche https://www.dnscrypt.org/
@Magisch Suppongo che (come sempre in materia legale) la risposta sia "dipende".In casi estremi, l'ispezione approfondita (e la manipolazione) dei pacchetti può anche essere legalmente * applicabile * per installare ad es.un Bundestrojaner ("Federal Trojan").In altri casi, l'ispezione (e la manipolazione) approfondita dei pacchetti allo scopo di rimuovere malware * può * essere legale
Alcuni di noi hanno atteso / aspettato / temendo per anni che gli ISP richiedessero contrattualmente ai clienti di inserire un certificato radice ISP nell'archivio certificati radice del cliente.O, equivalentemente, che il Regno Unito lo richieda legalmente.Ciò consentirebbe all'ISP di eseguire il proxy e ispezionare tutto il traffico.App come Google Chrome rileveranno tali intercettazioni man-in-the-middle, ma non possono impedirlo.// Il Wi-Fi sugli aerei domestici degli Stati Uniti di solito lo fa, ma spesso consente il traffico di ricerca di Google senza essere molestato, per ridurre i reclami.// VPN e TOR non aiuteranno, a meno che non siano steganografici.
MikeP
2017-03-28 04:23:39 UTC
view on stackexchange narkive permalink

Come affermato da Trey, DPI può vedere l'intero contenuto del tuo traffico di rete. Tutto. Se si tratta di testo normale, vedranno tutto ciò che fai.

Per aggiungere alla risposta di Miao:

Cose che DPI può vedere, anche quando si utilizza HTTPS:

  • Informazioni DNS, ad es. https://catvideos.com/tigers: vedranno https://catvideos.com
  • connettività dell'indirizzo IP. Quindi, anche tu HTTPS su quel sito con video di gatti, possono vedere che ti sei connesso a quel sito di video di gatti e hai scaricato 500 GB di dati. Non sanno quali dati, ma conoscono il nome DNS, l'indirizzo IP e la quantità di dati su quel sito e su ogni sito.
  • Annunci. Molte / la maggior parte delle reti pubblicitarie non utilizza HTTPS, quindi i dati non sono sempre crittografati. Ciò può causare una "crittografia mista" o un avviso simile da un browser.
  • altri dati: molti siti che utilizzano HTTPS per il login abbandoneranno la crittografia per tutto il resto.
  • grafica: molti siti non crittografano elementi come il loro logo o vari file grafici o video. Possono crittografare il tuo login e la tua ricerca, ma non i risultati.
  • altro traffico non HTTPS come UDP, posta, SNMP, ftp, telnet, gli aggiornamenti di alcuni software potrebbero non utilizzare HTTPS, ecc.

Con una VPN, vedrà comunque il 100% dei dati. Tuttavia, oltre alla connessione al provider VPN, vedranno solo i dati crittografati. Sapranno che hai scaricato 800 GB da VPNco.com, ma non sapranno nulla dei dati all'interno. Anche le cose che non sono crittografate tramite protocollo verranno crittografate poiché un livello inferiore è la crittografia. Ora, VPNco.com vedrà i tuoi dati.

Con il (potenziale) cambiamento nella legge statunitense sull'ISP e la privacy dei dati, combinato con la (potenziale) perdita di neutralità della rete, gli ISP potrebbero essere in grado non solo di vedere il 100% dei tuoi dati, ma potrebbero anche modificare tali dati rallentano o bloccano i siti desiderati e potrebbero essere in grado di vendere tutti i tuoi dati a terze parti (come afferma Trey).

Non sto coprendo MITM (come afferma Miao in # 1 sopra), poiché hai dichiarato ISP, presumo che tu stia parlando di un sistema domestico e di un modem DSL o via cavo.

https://stackoverflow.com/questions/499591/are-https-urls-encrypted

Quindi alla fine si riduce a chi si fida un utente, ISP o provider VPN?Per le VPN con sede, ad esempio negli Stati Uniti, quando affermano di non conservare i registri (come PIA), la NSA (o la CIA) non li costringerà a conservare i registri oa chiudere negozio?
@cppanonhelp666 Non fidarti delle VPN con sede negli Stati Uniti, perché il governo farà del suo meglio per estrarre quei dati.
Puoi sostituire "(potenziale) cambiamento" con "cambiamento" ora.
Quindi, di chi (dis) ti fidi di più?ISP, VPN, CIA / NSA, ecc.?Sento che almeno con CIA / NSA, stanno cercando problemi di sicurezza nazionale non guardando Netflix da una regione diversa o scaricando video di gatti.L'ISP e chiunque venda potrebbero essere interessati a quei dati.YMMV.
Klaws
2017-04-03 12:25:36 UTC
view on stackexchange narkive permalink

Con l'ispezione approfondita dei pacchetti, l'ISP può rilevare la maggior parte dei protocolli VPN (non i dati crittografati nei pacchetti VPN, ma solo che c'è traffico VPN) e bloccarli. Alcune aziende lo fanno per assicurarsi di poter decrittografare tutto il traffico (con l'attacco MITM e certificati falsi per avere DPI anche su SSL). L'idea è costringerti a utilizzare canali di comunicazione "insicuri" prevenendo tutto il resto. Tieni presente che questi canali "non sicuri" potrebbero essere più protetti, dal punto di vista dell'azienda, in quanto possono eseguire la prevenzione della perdita di dati lì.

In tal caso, le tecniche VPN non standard, come il tunneling HTTP, potrebbero essere un'opzione.

Nota che i termini di utilizzo potrebbero non consentire misure per aggirare DPI.

Modifica: alcuni ISP utilizzano DPI per il traffic shaping. Non registrano tutti i dati trasmessi, controllano (ad esempio) il traffico BitTorrent e gli assegnano una priorità inferiore o una larghezza di banda limitata. Ora, non stanno rubando la tua password, ma solo la larghezza di banda per cui stai pagando ...

mathreadler
2017-03-31 16:55:25 UTC
view on stackexchange narkive permalink

Se non ti fidi del tuo ISP, la tua prima priorità non dovrebbe essere affatto l'ispezione dei pacchetti, ma piuttosto stabilire un secondo canale di comunicazione affidabile per il quale puoi scambiare informazioni sull'elusione cose del genere.

Fintanto che ti affidi esclusivamente al tuo ISP come canale unico per tutti gli scambi di informazioni, tecnicamente possono inviarti informazioni di accesso errate alla tua VPN, anche se non lo fanno potrebbero comunque subentrare qualsiasi handshake di crittografia tentato perché sarà sempre nel mezzo.

Potrebbero avere persone al loro servizio corrotte o essere obbligate dalla legge per qualsiasi motivo.

happyTroll
2017-04-02 22:48:48 UTC
view on stackexchange narkive permalink

Tutto quanto sopra è vero. Un altro pensiero: il tuo ISP ti ha fornito un certificato radice autofirmato ed è nel tuo browser? Se lo hanno fatto, possono aprire il tuo traffico HTTPS.

Questo è già stato trattato nel primo punto elenco della [risposta di MiaoHatola] (https://security.stackexchange.com/a/155062/16960).
usrbs
2020-06-01 21:35:16 UTC
view on stackexchange narkive permalink

Hai installato un certificato di sicurezza del fornitore sul tuo computer, altrimenti non esisteva tale opzione e ora c'è una domanda su come bypassare questo test

Questo è coperto da altre risposte.E di quale "test" stai parlando?


ⓘ
Questa domanda e risposta è stata tradotta automaticamente dalla lingua inglese. Il contenuto originale è disponibile su stackexchange, che ringraziamo per la licenza cc by-sa 3.0 con cui è distribuito.
Loading...