VPN provayderiniz nə görə bilər və nə görə bilməz
Çıxış nöqtəsi ünvanları, vaxtları və Encrypted Client Hello istifadə edilmirsə, TLS əl sıxmasındakı sayt adını görür. Saxlama ayrı bir sualdır.
Tuneliniz yerli şəbəkəni trafikinizdən kənarda saxlayır. Ancaq digər tərəfdəki şirkəti aradan qaldırmır; həmin şirkət hər paketi açıq internetə çatmazdan əvvəl emal edir. Bu mövqe həm biznes modeli, həm də məxfilik sualıdır. Buna görə faydalı sual provayderin sizi görə bilməsi deyil, onun nə gördüyü, nəyi adlandıra bildiyi və nəyi saxladığıdır.
Etimadın həqiqətən köçdüyü yer
Şifrələmə cihazınızdan provayderin serverinə qədər işləyir və bu xarici hissə yerli şəbəkənizin gördüyü yeganə hissədir. Provayder bu hissənin digər ucunu saxlayır, yəni tuneli deşifrə edir və paketlərinizi irəli ötürür. Bunda qüsur yoxdur; bu, aldığınız xidmətin tərifidir. Etimad yox olmaq əvəzinə yerli operatorndan çıxış operatoruna keçdi.
Bu mövqedən o, mənbə ünvanınızı, nə vaxt qoşulduğunuzu, təxminən nə qədər ötürdüyünüzü və hansı təyinat nöqtələri ilə əlaqə saxladığınızı öyrənir. Bunların heç biri mesajlarınızı oxumağı tələb etmir və kateqoriyaların ayrılmasının mənası da budur. Provayderlər arasındakı maraqlı fərqlər bu müşahidələrin sonra nə olmasına aiddir.
Çıxışın mütləq emal etdiyi şeylər
Kateqoriyaları çıxışın onları nə qədər etibarlı görə bilməsinə görə sıralayın. Sətirlərin heç biri şifrələməni pozmağı tələb etmir və hər birinin ümumiyyətlə qarşısının alına bilib-bilməməsinə dair fərqli cavabı var.
| Category | Visible at the exit | Why |
|---|---|---|
| Your public address | Always | It is the address the tunnel arrives from |
| Connection times and volume | Always | Accounting data, not content |
| Destination IP addresses | Always | The exit has to route the packets |
| HTTPS hostname (SNI) | Normally, unless ECH is used | Sent in the clear in the TLS ClientHello |
| DNS names | Only if DNS is plaintext | DoH or DoT hides the query; plaintext is readable by the forwarder |
| Page paths and form contents | Not normally | Protected by the destination site's TLS session |
Dördüncü sətir əksər düşüncə modellərinin qaçırdığı şeydir. Müasir brauzer sayt adını TLS əl sıxmasının ilk mesajı olan ClientHello-ya qoyur və hər DNS sorğusu başdan-başa şifrələnsə belə, bu sahə çıxışda oxuna bilir. Encrypted Client Hello razılaşdırılmadıqca ad təyinat ünvanının yanında açıq şəkildə gedir. Şifrələnmiş DNS sorğunu kimin gördüyünü dəyişir, adı kimin gördüyünü yox.
Eyni şey köhnə bağlantılardakı sertifikatlara da aiddir: TLS 1.3 server sertifikatını şifrələyir, TLS 1.2 əl sıxması isə adı axını qeyd edən müşahidəçiyə aça bilər. Hər ikisi provayder siyasəti deyil, nəqliyyat faktıdır.
TLS-in nəyi əhatə etdiyi və nəyi etmədiyi
Sayt HTTPS təqdim etdikdə brauzeriniz VPN serverinə deyil, həmin saytın son nöqtəsinə TLS bağlantısı qurur. Provayder şifrələnmiş qeydləri ötürür və təyinat ünvanını, vaxtı və təxmini ölçüləri öyrənir. ECH işə düşmədikcə sayt adı ClientHello-da gedir və səhifə gövdəsi hər iki halda şifrəli qalır. Gözlənilməz kök sertifikat bu sərhədi dəyişir, buna görə sertifikat xəbərdarlıqları hörmətə layiqdir.
Adi HTTP-nin çıxışdan sonra belə bir qorunması yoxdur. Tunel provayderə qədər olan hissəni qoruyur və ondan sonra sorğu VPN olmadan olduğu kimi gedir. ECH bunu düzəltmir, çünki məzmunu deyil, adı qoruyur.
Saxlama görünmə qabiliyyətindən ayrı bir sualdır
Operator bağlantı məlumatlarını yaddaşda emal edib heç nə saxlaya bilməz və ya bir hissəsini saxlayıb onu dəqiq şəkildə brauzer tarixçəsi olmadığını bildirə bilər. No-logs iddiasını şüar ilə deyil, kateqoriya ilə oxuyun: bağlantı qeydləri, vaxt möhürləri, həcm cəmləri, təyinat məlumatları, hesab identifikatorları və dəstək mesajları hamısı sayılır. Provayder brauzer qeydlərini vicdanla saxlamaya bilər, eyni zamanda hesab qeydini və xidmətin işləməsi üçün lazım olan metadatanı saxlaya bilər. Görünmə qabiliyyəti bu kateqoriyalardan hansının saxlanıldığını sizə demir.
Audit sistemlər və onun əhatə etdiyi zaman pəncərəsi haqqında sübutdur, açıq mənbəli müştəri kodu isə serverləri deyil, müştərini təsvir edir. Hər ikisi faydalıdır və heç biri çıxışın arxasındakı hər saxlama sistemi üçün danışmır. Auditin nişanını deyil, əhatə dairəsini soruşun.
Provayderləri ayıran suallar
Nəyin saxlanıldığını, nə qədər müddətə və kimin əldə edə biləcəyini soruşun. Çıxışı kimin idarə etdiyini soruşun, çünki kataloq qeydi, tətbiq tərtibatçısı və müəyyən serveri idarə edən şəxs üç fərqli tərəf ola bilər. DNS-in necə idarə olunduğunu və istifadə etdiyiniz yollarda ECH-in dəstəkləndiyini soruşun, çünki açıq mətnli ClientHello DNS sorğusu olmadan da saytı adlandırır. Hüquqi sorğu zamanı nə baş verdiyini soruşun və cavabı niyyətin deyil, imkanların təsviri kimi oxuyun.
EFF-in VPN seçmə bələdçisi bu suallar üçün münasib yoxlama siyahısıdır və hər hansı xidmət haqqında hökm deyil, çərçivədir. Marketinq səhifəsi saxlama siyasəti deyil. Bunların heç biri VPN-i faydasız etmir; kimə etibar etməli olduğunuzu və nə üçün etibar etdiyinizi dəyişir.