Хто бачыць ваш трафік праз VPN? Чатыры назіральнікі
Лакальная сетка, аператар VPN, працадаўца і прызначэнне бачаць кожны свой зрэз. Параўнайце іх, перш чым давяраць тунелю ў пытанні прыватнасці.
Тунель змяняе месца, дзе ваш трафік робіцца назіраным. Ён не робіць яго неназіраным, і бок, які атрымлівае бачнасць, — гэта той, праз якога вы накіравалі трафік. Ці варта такая здзелка залежыць ад таго, якому скачку вы не давяраеце, таму карыснае параўнанне — паміж назіральнікамі, а не паміж брэндамі.
Чатыры бакі сядзяць на адным злучэнні
Прасочыце запыт ад наўтбука вонкі, і з'явяцца чатыры пазіцыі: сетка доступу, да якой вы далучыліся, выхад VPN, карпаратыўная інфраструктура, калі прылада кіруемая, і само прызначэнне. Кожная займае іншае месца на шляху, таму кожная збірае іншы від доказаў. Табліца — гэта ўвесь аргумент у адным позірку.
| Observer | Sees | Does not see |
|---|---|---|
| Local network and ISP | That a tunnel exists, its endpoint, volume and timing | Destinations carried inside the tunnel |
| VPN operator | Source address, destinations, unencrypted content | Content protected end to end by TLS |
| Managed employer | Device telemetry, DNS and proxy logs, policy decisions | Nothing about the device is hidden from its owner |
| Destination | Exit address, account, cookies, client fingerprint | Who is behind the exit address |
Чытайце табліцу ад пагрозы вонкі. Калі бянтэжыць Wi-Fi у кавярні, змяняецца першы радок; калі бянтэжыць правайдар, вы замянілі аднаго аператара на іншага і другі радок цяпер важнейшы. Радкі не спаборнічаюць; кожны апісвае іншую пазіцыю на тым жа шляху.
Сетка доступу ўсё яшчэ бачыць тунель
Ваш правайдар або гатэльная сетка бачыць злучэнне з IP-адрасам, перададзеныя байты і часы іх руху. Яна не бачыць сайты ўнутры тунеля, пры ўмове што развязанне імёнаў таксама ідзе ўнутры яго і прызначэнне дасягаецца праз выхад, а не напрамую.
Дзве ўцечкі выжываюць часцей, чым людзі чакаюць. DNS-запыты, адпраўленыя лакальнаму рэзалверу, усё яшчэ называюць сайты, а імя сервера ў звычайным TLS-рукапаціі чытэльнае на шляху, калі не выкарыстоўваецца шыфраванае прывітанне кліента. Ні адно не выпраўляецца ўсталяваннем кліента; абодва — пытанні налады.
Аператар VPN і працадаўца за ім
Камерцыйны правайдар стаіць менавіта там, дзе стаяў ваш правайдар: ён перасылае вашы пакеты і можа чытаць усё, што не шыфравана асобна. Пароль, уведзены ў звычайную HTTP-форму, чытэльны на выхадзе, нават калі першы скачок быў шыфраваны. Тунель перамясціў давер, ён не выдаліў уразлівасць. Прачытайце палітыку журналавання правайдара, перш чым меркаваць, што замена нешта палепшыла.
На кіруемым працоўным наўтбуку арганізацыя валодае канчатковым пунктам, таму кіраванне прыладай, журналаванне DNS і запісы проксі назіраюць за ім незалежна ад таго, ці падключаны тунель. Асабісты VPN не робіць кіруемую прыладу прыватнай, і ў многіх сетках гэта парушэнне палітыкі, а не мера прыватнасці.
Трафік іншых прылад у вашым доме не бачны гэтаму працадаўцу, калі працоўны наўтбук наўмысна не служыць іх шлюзам. Гэта розніца важная, калі сям'я дзеліць адно злучэнне і меркавае найгоршае.
Прызначэнне і суседзі на выхадзе
Сайт, які вы наведваеце, бачыць адрас выхаду, уліковы запіс, з якім вы ўвайшлі, кукі і характарыстыкі браўзера. Тунель змяняе толькі першы пункт, а ўваход усё роўна звязвае адрас выхаду з вамі.
Агульныя сэрвісы дадаюць больш тонкую рызыку. Калі правайдар не ізалюе кліентаў адзін ад аднаго, машына, якая слухае порт, можа быць дасягальная іншымі кліентамі на тым жа выхадзе. Блакаванне ўваходнага трафіку па змаўчанні на файрволе хоста пакрывае большую частку гэтай рызыкі. Праверыць гэта — значыць падключыць другую прыладу да таго ж сэрвісу і паспрабаваць дасягнуць порта, які слухае.
Некаторыя рэчы не змяняюцца ніколі: ідэнтыфікатары ўліковага запісу, адсочванне на ўзроўні праграм і веданне самога тэлефона, што ён перасылае трафік, калі вы раздаяце злучэнне. Тунель — гэта рашэнне аб маршрутызацыі, а не змена асобы.
Выберыце назіральніка, ад якога вы хаваецеся, перш чым выбіраць прадукт. Калі гэта лакальная сетка, дапаможа амаль любы правільна наладжаны выхад. Калі гэта ўласнае журналаванне правайдара, дагавор — частка рашэння. Калі гэта ваш працадаўца, ніякі асабісты тунель не справіцца.