Metadades de VPN: què pot veure encara cada observador
El xifrat amaga el contingut, no el fet d’una connexió. Separa què observen la xarxa d’accés, la sortida de VPN, el resolutor i la destinació, i què conserva cadascun.
El xifrat amaga què has enviat, no que hagis enviat alguna cosa. Les mides, el moment i les adreces externes continuen disponibles per a les parts en punts diferents del camí. Cada observador rep una porció diferent, i la pregunta sobre la privadesa és què pot sostenir aquesta porció. Comença per anomenar qui mira abans de decidir què significa l’exposició.
Anomena l’observador abans de l’afirmació
Quatre posicions importen en un túnel típic: la teva xarxa d’accés, la sortida de l’operador de VPN, qualsevol resolutor que rebi un nom i la destinació mateixa. Cadascuna veu una combinació diferent d’origen, destinació, nom, mida i temps. Una afirmació general sobre què revela una VPN és gairebé sempre una afirmació sobre una d’aquestes posicions.
| Observer | Usually visible | Not visible |
|---|---|---|
| Access network | VPN endpoint, volume, timing | Inner destinations |
| VPN exit | Your traffic, destination addresses | Your home address |
| Resolver | The names it resolves | Your full page content |
| Destination | Exit address, request, protocol details | Your physical location |
Mantén-les separades en l’anàlisi. Fusionar-les produeix afirmacions que no es poden provar. La posició d’un observador també decideix què podria obtenir-ne més endavant una sol·licitud legal.
Contingut i destinació són preguntes diferents
El xifrat protegeix la càrrega útil d’una connexió, i HTTPS la protegeix de nou en el seu propi intercanvi. Les adreces de destinació, però, són informació d’encaminament, i la sortida hi ha de reenviar. Els resolutors DNS reben els noms que responen, i la visibilitat d’altres noms d’amfitrió depèn del protocol utilitzat. Suposar que cada intermediari veu una URL completa és tan erroni com suposar que ningú no veu res.
Els identificadors de compte, les etiquetes de dispositiu i els ID de diagnòstic sovint viuen en sistemes de gestió més que en camps de paquets. Una especificació de protocol no descriu l’analítica que l’envolta. Un túnel que amaga adreces de la xarxa d’accés encara les pot exposar a la sortida, així que unes metadades idèntiques tenen un valor diferent en mans diferents.
Observable no és retingut
Un punt final pot processar dades per lliurar trànsit sense mantenir-ne un historial. També pot retenir diagnòstics, totals agregats o registres per compte durant un període limitat. Són comportaments diferents amb conseqüències diferents, i la paraula anònim poques vegades els distingeix. Un paquet que passa per un servidor no deixa cap registre automàtic d’on ha anat.
Pregunta què es recull, si s’uneix a un compte, quant de temps es conserva i qui ho pot llegir. Un total de tots els usuaris respon una pregunta diferent d’un registre amb marca temporal lligat a una identitat. Aquesta distinció és la diferència entre una política de privadesa i una frase de màrqueting.
Escriu la resposta abans de comparar proveïdors. Una garantia verbal no és una política de retenció.
Fes preguntes concretes sobre la retenció
Posa les preguntes per escrit abans de comparar productes. Quins esdeveniments es registren, amb quina granularitat, durant quant de temps i sota el control de qui? Les dades s’agreguen, es mostregen o se suprimeixen segons un calendari? Pot l’operador produir un historial per compte si se li demana?
Aquestes respostes pertanyen al registre de decisió. Sense elles, la comparació és un concurs d’eslògans.
La guia de privadesa RFC 6973 és un marc útil per a aquestes preguntes perquè separa la minimització de dades de la retenció i l’ús secundari. Una llista que nomena el país d’una sortida et diu d’on et connectes. No diu res sobre què emmagatzema aquest operador.