Кой вижда трафика ви през VPN? Четири наблюдатели
Локалната мрежа, VPN операторът, работодателят и дестинацията виждат различен отрязък. Сравнете ги, преди да се доверите на тунел за поверителност.
Тунелът променя мястото, където трафикът ви става наблюдаем. Той не го прави ненаблюдаем, а страната, която получава видимост, е тази, през която сте насочили трафика. Дали тази размяна си заслужава зависи от това на кой хоп не се доверявате, затова полезното сравнение е между наблюдателите, а не между марките.
Четири страни седят на една връзка
Проследете заявка от лаптопа навън и се появяват четири позиции: мрежата за достъп, към която сте се присъединили, изходът на VPN, корпоративната среда, ако устройството се управлява, и самата дестинация. Всяка заема различно място по пътя, затова всяка събира различен вид доказателства. Таблицата е целият аргумент в един поглед.
| Observer | Sees | Does not see |
|---|---|---|
| Local network and ISP | That a tunnel exists, its endpoint, volume and timing | Destinations carried inside the tunnel |
| VPN operator | Source address, destinations, unencrypted content | Content protected end to end by TLS |
| Managed employer | Device telemetry, DNS and proxy logs, policy decisions | Nothing about the device is hidden from its owner |
| Destination | Exit address, account, cookies, client fingerprint | Who is behind the exit address |
Четете таблицата от заплахата навън. Ако притеснението е Wi-Fi в кафенето, променя се първият ред; ако притеснението е доставчикът, вие сте сменили един оператор с друг и вторият ред вече е по-важен. Редовете не се състезават; всеки описва различна позиция по един и същ път.
Мрежата за достъп все още вижда тунела
Вашият доставчик или хотелската мрежа вижда връзка към IP адрес, прехвърлените байтове и времената, в които са се движили. Тя не вижда сайтовете вътре в тунела, при условие че и разрешаването на имена пътува вътре в него и дестинацията се достига през изхода, а не директно.
Две утечки оцеляват по-често, отколкото хората очакват. DNS заявките, изпратени до локалния резолвер, все още назовават сайтовете, а името на сървъра при обикновен TLS ръкостиск е четливо по пътя, освен ако не се използва криптиран поздрав на клиента. Нито едното не се поправя с инсталиране на клиент; и двете са въпроси на конфигурация.
VPN операторът и работодателят зад него
Търговският доставчик стои точно там, където стоеше вашият доставчик: препраща пакетите ви и може да чете всичко, което не е криптирано отделно. Парола, въведена в обикновена HTTP форма, е четлива на изхода, въпреки че първият хоп е бил криптиран. Тунелът премести доверието, не премахна излагането. Прочетете политиката за логване на доставчика, преди да приемете, че размяната е подобрила нещо.
На управляван работен лаптоп организацията притежава крайната точка, затова управлението на устройства, DNS логването и прокси записите го наблюдават независимо дали тунелът е свързан. Личният VPN не прави управляваното устройство поверително, а в много мрежи това е нарушение на политиката, а не мярка за поверителност.
Трафикът от други устройства в дома ви не е видим за този работодател, освен ако работният лаптоп умишлено не служи като техен шлюз. Тази разлика е важна, когато домакинство споделя една връзка и предполага най-лошото.
Дестинацията и съседите на изхода
Сайтът, който посещавате, вижда изходния адрес, акаунта, с който сте влезли, бисквитките и характеристиките на браузъра. Тунелът променя само първия елемент, а влизането все пак свързва изходния адрес с вас.
Споделените услуги добавят по-фин риск. Ако доставчикът не изолира клиентите един от друг, машина, която слуша на порт, може да е достъпна от други клиенти на същия изход. Блокирането на входящия трафик по подразбиране на хост файъруола покрива по-голямата част от този риск. Тестването означава свързване на второ устройство към същата услуга и опит за достигане на слушащ порт.
Някои неща никога не се променят: идентификаторите на акаунта, проследяването на ниво приложение и знанието на самия телефон, че препраща трафик, когато споделяте връзката. Тунелът е решение за маршрутизиране, а не смяна на самоличност.
Изберете наблюдателя, от когото се криете, преди да изберете продукт. Ако това е локалната мрежа, почти всеки правилно конфигуриран изход помага. Ако това е собственото логване на доставчика, договорът е част от решението. Ако това е работодателят ви, никакъв личен тунел няма да свърши работа.