Какво скрива VPN и какво оставя на показ

Твърдението, че VPN ви прави анонимни, е най-скъпият мит в потребителската поверителност, защото е наполовина вярно, а невярната половина е тази, на която хората разчитат. Тунелът наистина скрива дестинацията ви от мрежата, в която се намирате, и скрива домашния ви адрес от сайта, който посещавате. Той не скрива кой сте, когато влизате, какво носи браузърът ви или какво може да наблюдава VPN операторът. Полезният въпрос никога не е дали VPN ви скрива, а от кой наблюдател и за какъв трафик.

Митът: тунелът е превключвател за анонимност

VPN криптира пътя между устройството ви и VPN сървъра, след което препраща заявките ви от адреса на сървъра. Всичко, което изпращате по този път, е скрито от Wi-Fi оператора и от интернет доставчика пред тунела. Това е реална промяна и затова хотелската мрежа вече не вижда кои сайтове отваряте. Това не е анонимност, защото тунелът мести точката на наблюдение, вместо да я премахва.

Корекцията има значение на практика. Ако влизате в работен акаунт през VPN, сайтът все още знае акаунта. Ако браузърът ви пази бисквитка от рекламна мрежа, тунелът не я изчиства. Ако клиентът е настроен да изключва локалния трафик, този трафик никога не влиза в тунела. Затворен катинар описва тунела, а не сбора от това, което сте разкрили.

Какво мрежата за достъп губи и какво запазва

Мрежата за достъп, тоест Wi-Fi операторът или интернет доставчикът, който пренася връзката ви до VPN сървъра, все още вижда, че съществува VPN връзка. Тя може да записва адреса на крайната точка, кога сте се свързали, колко е продължила сесията и приблизително колко данни са преминали. Анализът на трафика в такъв вид може да е информативен дори когато съдържанието е нечетимо, поради което криптирано и невидимо са различни твърдения.

Тя също запазва всичко, което ѝ кажете директно: вход в пленен портал, номер на стая, плащане за достъп. И може да вижда DNS, ако клиентът или системният резолвер изпраща заявки извън тунела. Този теч е чест при разделени тунели и на устройства, които пазят DNS сървър на рутера или оператора. Проверявайте резолвера, който се използва, докато сте свързани, а не само изходния адрес.

Какво сайтът все още разпознава

Сайтът вижда изходния адрес на VPN сървъра, а не домашния ви адрес, за връзките през тунела. Това е цялата промяна на ниво IP. Това, което вижда отвъд адреса, не се е променило: акаунтът, в който влизате, бисквитките, които е поставил по-рано, браузърът и операционната система, които представяте, и времето на заявките ви. Сайт, който вече ви познава, не става непознат, защото адресът на източника се е сменил.

Местоположението заслужава отделен ред. Сайт, който пита браузъра за местоположение, получава отговор, контролиран от разрешението на браузъра, а не от VPN. GPS на телефона е независим от тунела. Затова адрес, който се геолокизира в друга държава, докато картата още показва вашия град, не е повреда на VPN; това са два различни канала за местоположение, които не се съгласяват.

Пръстовият отпечатък е другата половина. Размер на екрана, шрифтове, часова зона, език и изход от canvas могат да различават браузъри, дори когато адресът е споделен с хиляди други потребители. VPN променя един вход в този профил и оставя останалото непокътнато.

Какво може да види операторът

Операторът прекратява тунела ви и препраща заявката, така че стои там, където преди стоеше интернет доставчикът ви. Той може да види адресите на дестинациите и, без криптиран клиентски поздрав, имената на хостовете, които заявявате; вижда DNS заявките, ако използвате неговия резолвер; вижда обема и времето. Не може да чете съдържанието на HTTPS сесия, без да я прихване със сертификат, на който устройството ви вярва, а това е друга и по-шумна атака.

Видимостта не е запазване. Доставчикът може технически да наблюдава заявка и въпреки това да не я записва, или да записва метаданни за връзката, изхвърляйки съдържанието. Честният въпрос е какво изискват политиката и юрисдикцията на доставчика да се пази, а значката „без логове“ не отговаря на това. Отнасяйте се към оператора като към страна, на която сами избирате да поверите метаданните си.

Какво пази устройството, с тунел или без

Нищо от тунела не достига вътре в устройството. Историята на сърфирането остава в браузъра, изтеглянията остават във файловата система, а приложение с достъп до микрофона или екрана запазва този достъп. Софтуерът за наблюдение на машината може да чете данни преди криптирането или след декриптирането, поради което VPN не е защита срещу компрометирана крайна точка.

Същото важи за акаунтите. Бисквитка за сесия, копирана от устройството, работи от всеки адрес, а парола, използвана повторно в различни сайтове, свързва самоличности, които никакъв тунел не разделя. Ако заплахата, която ви интересува, е човек, който държи устройството, VPN не я решава.

Тествайте покритието, което наистина сте купили

Тествайте свойствата, на които разчитате, вместо маркетинговото твърдение. С включен тунел проверете публичния адрес, DNS резолвера и пътя IPv6. Тунел само с IPv4 в мрежа с два стека може да остави трафика IPv6 напълно извън него. Ръководството на EFF за избор на VPN поставя същия въпрос като модел на заплахите, а не като класация на продукти.

След това тествайте поведението при отказ. Прекъснете тунела и потвърдете дали трафикът спира, или се връща по директния път; това зависи от настройката kill-switch на клиента, а не от името на протокола. Накрая избройте приложенията и префиксите, които клиентът изключва. Разделеният тунел е мястото, където живеят повечето изненади, защото покритието, което сте купили, е покритието, което клиентът е настроен да доставя.