Може ли операторът на VPN да вижда кои сайтове посещавате?

Попитайте какво вижда VPN и отговорът зависи от това къде стоите по пътя. На слоя на сесията операторът има събития по удостоверяването и брой байтове. На слоя на пакетите има адресите на местоназначение и времената. На слоя на DNS може да има самите имена. Всеки слой отговаря на различен въпрос и нито един превключвател не ви мести между тях.

Определете слоя, преди да правите твърдение

Една и съща връзка създава различни записи във всяка точка и твърдение за поверителността има смисъл само когато посочва точката. Четете таблицата колона по колона: какво съществува на този слой, какво операторът може да види там и какво същите тези записи все още не могат да му кажат.

Четенето на един слой като цялата картина е началото и на преувеличенията, и на фалшивото успокоение. Доставчик, който казва, че не води дневник на сърфирането, може да е точен за записа на URL адреси, но да пази записи за сесиите, а снимка на пакетите, която показва само адреси, не се превръща в история на сърфирането без обратни справки и догадки.

Когато оценявате политика, намерете изречението, което описва всеки слой. Ако политиката не ги разделя, попитайте какви записи съществуват, вместо да приемате общо твърдение за криптирането.

Инвентар на сесиите: какво пази стандартен OpenVPN сървър

Веднага след инсталиране сървърът OpenVPN не прихваща трафик. Обичайният резултат е инвентар на сесиите: акаунтът, който се е удостоверил, адресът на източника, от който е дошъл, времевите марки за начало и край, отпуснатият адрес на тунела и общият брой байтове във всяка посока. Това е инвентар на сесиите, а не списък с местоназначения.

Опциите за дневник могат да добавят подробности. По-високо ниво на подробност пише повече за ръкостискането, а файл за състоянието може да изброява свързаните клиенти, но нито едно от двете не превръща сървъра в прозрачен прокси. За да се произведат URL адреси, трябва да се прекрати TLS или да се пусне явно прокси, а и двете променят договорката за доверие, вместо да включват скрита функция.

Затова точната версия на твърдението за липса на дневник на сърфирането е по-тясна, отколкото звучи. Сървърът не знае страницата, но знае, че сесия е съществувала и приблизително колко данни са преминали през нея. Дали този запис за сесията се пази и колко дълго, е отделен въпрос на политика.

Вътрешните и външните пакети са различни доказателства

Снимката на пакетите е начинът да видите какво наистина преминава през тунела. На сървъра посочете интерфейса на тунела и пишете във файл, който може да се анализира офлайн:

sudo tcpdump -ni tun0 -w /tmp/tun.pcap
sudo tcpdump -r /tmp/tun.pcap -nn | head

Този файл съдържа дешифриран вътрешен трафик: адресът на тунела на клиента като източник, адресът и портът на местоназначението, размерите на пакетите и времената. В него няма пътя по HTTP или тялото на отговора, освен ако TLS не е прекратен някъде, и това са чувствителни данни, чието съхранение е решение на политика, а не удобство за отстраняване на грешки.

Снимка на физическия интерфейс показва друго. Там виждате външни пакети, адресирани до крайната точка на VPN, с криптиран полезен товар вътре. Появата на несвързани адреси в този файл е нормална, след като има виртуален адаптер, защото устройството на тунела носи вътрешните потоци, а криптираният транспорт носи външните.

Попитайте на какъв въпрос трябва да отговори снимката. Използването на тунела от приложение се вижда на виртуалния адаптер; достижимостта на тунела до крайната точка се вижда на физическия. Използването на който и да е от файловете като пълна картина дава изводи, които данните не подкрепят.

DNS е мястото, където имената стават видими

DNS остава практическото изключение. Резолверът вижда имената, които искат от него да разреши, затова който го управлява, научава кои сайтове търси клиентът, дори когато следващите връзки са криптирани. Снимка на тунела показва адреси; резолверът показва имена.

Проверете кой адрес е използвал резолверът, за да достигне външна услуга. Отговорът е изходящият адрес на резолвера и сравняването му с изхода на VPN ви казва дали заявката е минала през тунела:

dig +short myip.opendns.com @resolver1.opendns.com
dig example.com
sudo tcpdump -ni any udp port 53

Ако този адрес съвпада с локалната връзка, а не с изхода на тунела, търсенето е заобиколило VPN и името е било видимо по локалния път. Повторете проверката след актуализация на клиента, защото нова версия може да промени кой резолвер инсталира профилът.

Криптираният DNS мести видимостта, вместо да я премахва. Мрежата вече не вижда заявката, но резолверът още я вижда и въпросът за доверието просто сменя ръце. Името на TLS сървъра в ръкостискането на връзката е друг частичен сигнал: то често оцелява дори когато полезният товар е непрозрачен, така че адресите на местоназначение не са единствените метаданни, които препращащ сървър може да наблюдава.

Три вида записи и кой може да ги чете

Отчитането на сесии, записите по име и доказателствата за изтичане са три различни продукта с три различни задължения. Дневниците на сесиите са евтини и с ниска чувствителност и отговарят кой се е свързал и кога. Записите по име изискват резолвер с дневник или явно прокси и създават задължение за разкриване пред засегнатите хора. Доказателството за изтичане е тест от страна на клиента, който сравнява какво разкрива резолверът с изхода на тунела.

Запишете кой от тези три водите, кой може да го чете и колко дълго се пази. Твърденията, че услуга не пази дневници, описват един слой и остават верни само в този обхват. Същият доставчик може да е точен за сесиите и да греши за DNS.

Пазете теста възпроизводим: същата заявка към резолвера, същият интерфейс за снимка и същото сравнение. Твърдение за поверителност, което не може да се провери на посочен слой, е лозунг, а не оперативен факт.