আপনার VPN প্রদানকারী কী দেখতে পারে আর কী পারে না
বহির্গমন ঠিকানা, সময় এবং Encrypted Client Hello ব্যবহার না হলে TLS হ্যান্ডশেকে সাইটের নাম দেখে। তথ্য সংরক্ষণ আলাদা প্রশ্ন।
আপনার টানেল স্থানীয় নেটওয়ার্ককে আপনার ট্রাফিকের বাইরে রাখে। কিন্তু এটি অন্য প্রান্তের কোম্পানিকে সরিয়ে দেয় না, যে কোম্পানি প্রতিটি প্যাকেট খোলা ইন্টারনেটে পৌঁছানোর আগেই প্রক্রিয়া করে। এই অবস্থান একইসঙ্গে ব্যবসায়িক মডেল ও গোপনীয়তার প্রশ্ন। তাই কাজের প্রশ্ন হলো প্রদানকারী আপনাকে দেখতে পারে কি না তা নয়, বরং সে কী দেখে, কী নাম দিতে পারে এবং কী সংরক্ষণ করে।
বিশ্বাস আসলে কোথায় সরে যায়
এনক্রিপশন আপনার ডিভাইস থেকে প্রদানকারীর সার্ভার পর্যন্ত চলে, আর এই বাইরের অংশটুকুই আপনার স্থানীয় নেটওয়ার্ক দেখে। প্রদানকারী এই অংশের অন্য প্রান্ত ধরে রাখে, তাই সে টানেল ডিক্রিপ্ট করে আপনার প্যাকেট সামনে পাঠায়। এতে কোনো ত্রুটি নেই; এটাই আপনি যে সেবা কিনেছেন তার সংজ্ঞা। বিশ্বাস মুছে যায়নি, বরং স্থানীয় অপারেটর থেকে বহির্গমনের অপারেটরের কাছে সরে গেছে।
এই অবস্থান থেকে সে আপনার উৎস ঠিকানা, আপনি কখন সংযুক্ত হয়েছিলেন, মোটামুটি কতটা স্থানান্তর করেছেন এবং কোন গন্তব্যের সঙ্গে যোগাযোগ করেছেন তা জানে। এর কোনোটির জন্য আপনার বার্তা পড়ার দরকার নেই, আর শ্রেণিগুলো আলাদা করার অর্থই এটাই। প্রদানকারীদের মধ্যে আকর্ষণীয় পার্থক্য হলো সেই পর্যবেক্ষণগুলোর পরে কী ঘটে।
বহির্গমন যে বিষয়গুলো অনিবার্যভাবে সামলায়
বহির্গমন কতটা নির্ভরযোগ্যভাবে দেখতে পারে সেই অনুযায়ী শ্রেণিগুলো সাজান। কোনো সারির জন্যই এনক্রিপশন ভাঙা লাগে না, এবং এটি আদৌ এড়ানো সম্ভব কি না তা নিয়ে প্রতিটির ভিন্ন উত্তর আছে।
| Category | Visible at the exit | Why |
|---|---|---|
| Your public address | Always | It is the address the tunnel arrives from |
| Connection times and volume | Always | Accounting data, not content |
| Destination IP addresses | Always | The exit has to route the packets |
| HTTPS hostname (SNI) | Normally, unless ECH is used | Sent in the clear in the TLS ClientHello |
| DNS names | Only if DNS is plaintext | DoH or DoT hides the query; plaintext is readable by the forwarder |
| Page paths and form contents | Not normally | Protected by the destination site's TLS session |
চতুর্থ সারিটাই বেশিরভাগ মানসিক মডেল মিস করে। আধুনিক ব্রাউজার সাইটের নাম ClientHello-তে রাখে, যা TLS হ্যান্ডশেকের প্রথম বার্তা, এবং প্রতিটি DNS জিজ্ঞাসা শেষ থেকে শেষ পর্যন্ত এনক্রিপ্ট করা থাকলেও বহির্গমনে সেই ক্ষেত্রটি পাঠযোগ্য। Encrypted Client Hello-তে সম্মতি না হলে নামটি গন্তব্য ঠিকানার পাশে খোলাখুলিই ভ্রমণ করে। এনক্রিপ্টেড DNS বদলায় কে জিজ্ঞাসা দেখে, কে নাম দেখে তা নয়।
পুরোনো সংযোগে সার্টিফিকেটের ক্ষেত্রেও একই কথা: TLS 1.3 সার্ভার সার্টিফিকেট এনক্রিপ্ট করে, অন্যদিকে TLS 1.2 হ্যান্ডশেক স্ট্রিম রেকর্ড করা পর্যবেক্ষকের কাছে নাম প্রকাশ করতে পারে। দুটোই পরিবহনের সত্য, প্রদানকারীর নীতি নয়।
TLS কী ঢাকে আর কী ঢাকে না
কোনো সাইট HTTPS দিলে আপনার ব্রাউজার VPN সার্ভারে নয়, ওই সাইটের এন্ডপয়েন্টে TLS সংযোগ গড়ে। প্রদানকারী এনক্রিপ্টেড রেকর্ড সামনে পাঠায় এবং গন্তব্য ঠিকানা, সময় ও আনুমানিক আকার জানতে পারে। ECH চালু না থাকলে সাইটের নাম ClientHello-তে চলে, আর পৃষ্ঠার মূল অংশ দুই ক্ষেত্রেই এনক্রিপ্টেড থাকে। অপ্রত্যাশিত রুট সার্টিফিকেট এই সীমা বদলে দেয়, তাই সার্টিফিকেট সতর্কতা মান্য করার যোগ্য।
সাধারণ HTTP-র বহির্গমনের পর এমন কোনো সুরক্ষা নেই। টানেল প্রদানকারী পর্যন্ত অংশ রক্ষা করে, তারপর অনুরোধ ঠিক সেভাবেই যায় যেমনভাবে VPN ছাড়া যেত। ECH এটা সারায় না, কারণ এটি নাম রক্ষা করে, বিষয়বস্তু নয়।
সংরক্ষণ দৃশ্যমানতা থেকে আলাদা প্রশ্ন
অপারেটর মেমরিতে সংযোগের তথ্য প্রক্রিয়া করে কিছু না রাখতে পারে, অথবা একটা অংশ রাখতে পারে এবং সেটিকে নির্ভুলভাবে ব্রাউজিং ইতিহাস নয় বলে বর্ণনা করতে পারে। নো-লগ দাবি স্লোগান নয়, শ্রেণি ধরে পড়ুন: সংযোগ রেকর্ড, টাইমস্ট্যাম্প, মোট আয়তন, গন্তব্য তথ্য, অ্যাকাউন্ট শনাক্তকারী ও সহায়তা বার্তা—সবই গণনা হয়। একজন প্রদানকারী সৎভাবে কোনো ব্রাউজিং লগ না রেখেও অ্যাকাউন্ট রেকর্ড ও সেবা চালানোর জন্য দরকারি মেটাডেটা রাখতে পারে। দৃশ্যমানতা বলে না এর মধ্যে কোন শ্রেণি সংরক্ষিত আছে।
নিরীক্ষা হলো সিস্টেমগুলো ও যে সময়সীমা তা ঢেকেছে সে সম্পর্কে প্রমাণ, আর ওপেন সোর্স ক্লায়েন্ট কোড সার্ভার নয়, ক্লায়েন্টকে বর্ণনা করে। দুটোই কাজে লাগে, এবং কোনোটিই বহির্গমনের পেছনের প্রতিটি স্টোরেজ সিস্টেমের পক্ষে সাক্ষ্য দেয় না। নিরীক্ষার ব্যাজ নয়, তার পরিধি জানতে চান।
যে প্রশ্নগুলো প্রদানকারীদের আলাদা করে
জিজ্ঞাসা করুন কী সংরক্ষিত হয়, কতদিন এবং কে তা আনতে পারে। জিজ্ঞাসা করুন বহির্গমন কে চালায়, কারণ একটি ডিরেক্টরি তালিকা, একজন অ্যাপ ডেভেলপার এবং নির্দিষ্ট সার্ভার চালানো ব্যক্তি তিন ভিন্ন পক্ষ হতে পারেন। জিজ্ঞাসা করুন DNS কীভাবে সামলানো হয় এবং আপনি যে পথ ব্যবহার করেন সেখানে ECH সমর্থিত কি না, কারণ সাধারণ টেক্সটের ClientHello DNS জিজ্ঞাসা ছাড়াও সাইটের নাম বলে দেয়। জিজ্ঞাসা করুন আইনি অনুরোধে কী ঘটে, এবং উত্তরটিকে উদ্দেশ্যের নয়, সামর্থ্যের বর্ণনা হিসেবে পড়ুন।
EFF-এর VPN বাছাইয়ের নির্দেশিকা সেই প্রশ্নগুলোর জন্য যুক্তিসঙ্গত চেকলিস্ট, এবং এটি যেকোনো সেবা সম্পর্কে রায় নয়, একটি কাঠামো। বিপণন পাতা সংরক্ষণ নীতি নয়। এর কোনোটিই VPN-কে অকেজো করে না; এটি বদলায় আপনাকে কার ও কীসের জন্য বিশ্বাস করতে হবে।