Wat ’n VPN verberg, en wat dit in die ope laat sien

Die bewering dat ’n VPN jou anoniem maak, is die duurste mite in verbruikersprivaatheid, want dit is half waar en die valse helfte is juis die helfte waarop mense staatmaak. ’n Tonnel verberg wel jou bestemming vir die netwerk waarop jy sit, en dit verberg wel jou tuisadres vir die webwerf wat jy besoek. Dit verberg nie wie jy is wanneer jy aanmeld, wat jou blaaier saamdra, of wat die VPN-operateur kan waarneem nie. Die nuttige vraag is nooit of ’n VPN jou verberg nie, maar vir watter waarnemer, vir watter verkeer.

Die mite: ’n tonnel is ’n anonimiteitskakelaar

’n VPN versleutel die pad tussen jou toestel en die VPN-bediener en stuur dan jou versoeke vanaf die bediener se adres aan. Alles wat jy deur daardie pad stuur, is verborge vir die Wi-Fi-operateur en die ISP voor die tonnel. Dit is ’n werklike verandering, en dit is hoekom ’n hotelnetwerk nie meer sien watter werwe jy oopmaak nie. Dit is nie anonimiteit nie, want die tonnel verskuif die waarnemingspunt in plaas daarvan om dit te verwyder.

Die regstelling maak in die praktyk saak. As jy oor ’n VPN by ’n werkrekening aanmeld, weet die webwerf steeds van die rekening. As jou blaaier ’n koekie van ’n advertensienetwerk hou, wis die tonnel dit nie. As die kliënt opgestel is om plaaslike verkeer uit te sluit, kom daardie verkeer nooit in die tonnel nie. ’n Hangslot wat gesluit wys, beskryf die tonnel, nie die som van wat jy onthul het nie.

Wat die toegangsnetwerk verloor en behou

Die toegangsnetwerk, dit wil sê die Wi-Fi-operateur of ISP wat jou verbinding na die VPN-bediener dra, sien steeds dat ’n VPN-verbinding bestaan. Dit kan die eindpuntadres aanteken, wanneer jy gekoppel het, hoe lank die sessie geduur het en ongeveer hoeveel data beweeg het. Verkeersanalise van daardie vorm kan insiggewend wees selfs wanneer die inhoud onleesbaar is, en daarom is versleuteld en onsigbaar twee verskillende bewerings.

Dit behou ook alles wat jy hom direk vertel het: ’n aanmelding by ’n vasgevangde portaal, ’n kamernommer, ’n betaling vir toegang. En dit kan steeds DNS sien as die kliënt of stelseloplosser navrae buite die tonnel stuur. Daardie lek is algemeen by split-tonnel-opstellings en by toestelle wat ’n router- of draer-DNS-bediener hou. Kontroleer die oplosser wat gebruik word terwyl jy gekoppel is, nie net die uitgangsadres nie.

Wat die webwerf steeds herken

Die webwerf sien die uitgangsadres van die VPN-bediener, nie jou tuisadres nie, vir verbindings wat die tonnel gebruik. Dit is die hele verandering op IP-vlak. Wat dit anderkant die adres sien, is onveranderd: die rekening waarby jy aanmeld, koekies wat dit vroeër gestel het, die blaaier en bedryfstelsel wat jy aanbied, en die tydsberekening van jou versoeke. ’n Webwerf wat jou al ken, word nie ’n vreemdeling omdat die bronadres verander het nie.

Ligging verdien sy eie reël. ’n Webwerf wat die blaaier om ligging vra, kry ’n antwoord wat deur die blaaier se toestemming beheer word, nie deur die VPN nie. GPS op ’n telefoon is onafhanklik van die tonnel. ’n Adres wat na ’n ander land geolokaliseer word terwyl die kaart steeds jou stad wys, is dus nie ’n VPN-fout nie; dit is twee verskillende liggingskanale wat van mening verskil.

Vingerafdrukke is die ander helfte. Skermgrootte, lettertipes, tydsone, taal en canvas-uitset kan blaaiers onderskei selfs wanneer die adres met duisende ander gebruikers gedeel word. ’n VPN verander een inset tot daardie profiel en laat die res ongeskonde.

Wat die operateur kan sien

Die operateur beëindig jou tonnel en stuur die versoek aan, so dit sit waar jou ISP vroeër gesit het. Dit kan bestemmingsadresse sien en, sonder versleutelde kliëntgroet, die gasheername wat jy aanvra; dit sien DNS-navrae as jy sy oplosser gebruik; dit sien volume en tydsberekening. Dit kan nie die inhoud van ’n HTTPS-sessie lees sonder om dit met ’n sertifikaat te onderskep wat jou toestel vertrou nie, wat ’n ander en luidruchtiger aanval is.

Sigbaarheid is nie bewaring nie. ’n Verskaffer kan tegnies in staat wees om ’n versoek waar te neem en dit steeds nie aanteken nie, of kan verbindingsmetadata aanteken terwyl inhoud weggegooi word. Die eerlike vraag is wat die verskaffer se beleid en jurisdiksie vereis om te hou, en ’n kenteken van geen logboeke beantwoord dit nie. Beskou die operateur as ’n party aan wie jy kies om jou metadata toe te vertrou.

Wat die toestel behou, met of sonder tonnel

Niks van die tonnel bereik die binnekant van die toestel nie. Blaaiersgeskiedenis bly in die blaaier, aflaaie bly in die lêerstelsel, en ’n app met mikrofoon- of skermtoegang behou daardie toegang. Moniteringsagteware op die masjien kan data lees voordat dit versleutel word of nadat dit ontsleutel is, en daarom is ’n VPN nie ’n verdediging teen ’n gekompromitteerde eindpunt nie.

Dieselfde geld vir rekeninge. ’n Sessiekoekie wat van die toestel gekopieer is, werk vanaf enige adres, en ’n wagwoord wat oor werwe hergebruik word, verbind identiteite wat geen tonnel skei nie. As die bedreiging waaroor jy bekommerd is iemand is wat die toestel vashou, spreek die VPN dit nie aan nie.

Toets die dekking wat jy werklik gekoop het

Toets die eienskappe waarop jy staatmaak eerder as die bemarkingsbewering. Met die tonnel op, kontroleer die publieke adres, die DNS-oplosser en die IPv6-pad. ’n Slegs-IPv4-tonnel op ’n dubbelstapelnetwerk kan IPv6-verkeer heeltemal buite dit laat. Die EFF se gids vir die keuse van ’n VPN raam dieselfde vraag as ’n dreigingsmodel eerder as ’n produkranglys.

Toets dan die gedrag by mislukking. Koppel die tonnel af en bevestig of verkeer stop of na die direkte pad terugval; dit hang af van die kliënt se kill-switch-instelling, nie van die protokolnaam nie. Laastens, lys die apps en voorvoegsels wat die kliënt uitsluit. Split-tonnel is waar die meeste verrassings woon, want die dekking wat jy gekoop het, is die dekking wat die kliënt opgestel is om te lewer.