VPN trafikinizi kim görə bilər? Dörd müşahidəçi
Yerli şəbəkə, VPN operatoru, işəgötürən və təyinat hər biri fərqli bir dilim görür. Məxfiliyə güvənməzdən əvvəl onları müqayisə edin.
Tunel trafikinizin görünən olduğu yeri dəyişir. Onu görünməz etmir və görünürlük qazanan tərəf sizin trafikinizi yönləndirdiyiniz tərəfdir. Bu mübadilənin dəyərli olub-olmadığı hansı halqaya güvənmədiyinizdən asılıdır, ona görə faydalı müqayisə brendlər arasında deyil, müşahidəçilər arasındadır.
Bir bağlantıda dörd tərəf oturur
Noutbukdan xaricə doğru bir sorğunu izləyin və dörd mövqe görünür: qoşulduğunuz giriş şəbəkəsi, VPN çıxışı, cihaz idarə olunursa korporativ mühit və təyinatın özü. Hər biri yolda fərqli yer tutur, ona görə hər biri fərqli növ sübut toplayır. Cədvəl bütün arqumenti bir baxışda göstərir.
| Observer | Sees | Does not see |
|---|---|---|
| Local network and ISP | That a tunnel exists, its endpoint, volume and timing | Destinations carried inside the tunnel |
| VPN operator | Source address, destinations, unencrypted content | Content protected end to end by TLS |
| Managed employer | Device telemetry, DNS and proxy logs, policy decisions | Nothing about the device is hidden from its owner |
| Destination | Exit address, account, cookies, client fingerprint | Who is behind the exit address |
Cədvəli təhdiddən xaricə doğru oxuyun. Narahatlıq kafe Wi-Fi-dırsa, dəyişən birinci sətirdir; narahatlıq internet provayderidirsə, siz bir operatoru digəri ilə dəyişmisiniz və ikinci sətir indi daha çox əhəmiyyət kəsb edir. Sətirlər rəqabət etmir; hər biri eyni yolda fərqli mövqeyi təsvir edir.
Giriş şəbəkəsi hələ də tuneli görür
İnternet provayderiniz və ya otel şəbəkəsi bir IP ünvana bağlantını, ötürülən baytları və onların hərəkət vaxtlarını görür. Tunelin içindəki saytları görmür, bu şərtlə ki ad həlli də tunelin içində getsin və təyinat birbaşa deyil, çıxış vasitəsilə əldə olunsun.
İki sızma insanların gözlədiyindən daha tez-tez qalır. Yerli həllediciyə göndərilən DNS sorğuları hələ də saytların adını çəkir və adi TLS əl sıxışmasında server adı yolda oxuna bilir, əgər şifrələnmiş müştəri salamı istifadə olunmursa. Heç biri müştəri quraşdırmaqla düzəlmir; ikisi də konfiqurasiya məsələsidir.
VPN operatoru və onun arxasındakı işəgötürən
Kommersiya provayderi məhz sizin internet provayderinizin durduğu yerdə durur: paketlərinizi yönləndirir və ayrıca şifrələnməmiş hər şeyi oxuya bilir. Adi HTTP formasına yazılan parol çıxışda oxunaqlıdır, baxmayaraq ki birinci halqa şifrələnmişdi. Tunel etimadı köçürdü, məruz qalmanı silmədi. Dəyişikliyin nəyisə yaxşılaşdırdığını güman etməzdən əvvəl provayderin jurnal siyasətini oxuyun.
İdarə olunan iş noutbukunda son nöqtə təşkilata aiddir, ona görə cihaz idarəetməsi, DNS jurnalı və proxy qeydləri tunel qoşulub-qoşulmadığından asılı olmayaraq onu müşahidə edir. Şəxsi VPN idarə olunan cihazı məxfi etmir və bir çox şəbəkədə bu, məxfilik tədbiri deyil, siyasət pozuntusudur.
Evinizdəki digər cihazların trafiki həmin işəgötürən üçün görünmür, məgər iş noutbuku qəsdən onların şlüzü kimi çıxış edirsə. Bu fərq, bir ev tək bağlantını paylaşdıqda və ən pisini güman etdikdə əhəmiyyət kəsb edir.
Təyinat və çıxışdakı qonşular
Ziyarət etdiyiniz sayt çıxış ünvanını, daxil olduğunuz hesabı, kukiləri və brauzer xüsusiyyətlərini görür. Tunel yalnız birinci bəndi dəyişir və daxil olmaq çıxış ünvanını hər halda sizə bağlayır.
Paylaşılan xidmətlər daha incə bir risk əlavə edir. Provayder müştəriləri bir-birindən təcrid etmirsə, portda dinləyən maşın eyni çıxışdakı digər müştərilər tərəfindən əlçatan ola bilər. Gələn trafiki host firewall-da standart olaraq bloklamaq bu riskin çoxunu örtür. Bunu sınamaq ikinci cihazı eyni xidmətə qoşmaq və dinləyən porta çatmağa çalışmaq deməkdir.
Bəzi şeylər heç vaxt dəyişmir: hesab identifikatorları, tətbiq səviyyəsində izləmə və telefonun özünün trafiki yönləndirdiyini bilməsi, onu modem kimi işlətdikdə. Tunel marşrut qərarıdır, şəxsiyyət dəyişikliyi deyil.
Məhsul seçməzdən əvvəl hansı müşahidəçidən gizləndiyinizi seçin. Əgər yerli şəbəkədirsə, demək olar ki hər düzgün konfiqurasiya edilmiş çıxış kömək edir. Əgər provayderin öz jurnalıdırsa, müqavilə qərarın bir hissəsidir. Əgər işəgötürəninizdirsə, heç bir şəxsi tunel bunu etməyəcək.