Kdo vidí váš provoz přes VPN? Čtyři pozorovatelé
Lokální síť, provozovatel VPN, zaměstnavatel i cíl vidí každý jiný výřez. Porovnejte je, než tunelu svěříte soukromí.
Tunel mění místo, kde se váš provoz stává pozorovatelným. Nečiní ho nepozorovatelným a strana, která získá viditelnost, je ta, přes kterou jste provoz směrovali. Zda se ten obchod vyplatí, závisí na tom, kterému skoku nedůvěřujete, takže užitečné srovnání je mezi pozorovateli, nikoli mezi značkami.
Na jednom spojení sedí čtyři strany
Sledujte požadavek z notebooku směrem ven a objeví se čtyři pozice: přístupová síť, ke které jste se připojili, výstup VPN, firemní prostředí, pokud je zařízení spravované, a samotný cíl. Každá zaujímá v cestě jiné místo, takže každá shromažďuje jiný druh důkazů. Tabulka je celý argument v jednom pohledu.
| Observer | Sees | Does not see |
|---|---|---|
| Local network and ISP | That a tunnel exists, its endpoint, volume and timing | Destinations carried inside the tunnel |
| VPN operator | Source address, destinations, unencrypted content | Content protected end to end by TLS |
| Managed employer | Device telemetry, DNS and proxy logs, policy decisions | Nothing about the device is hidden from its owner |
| Destination | Exit address, account, cookies, client fingerprint | Who is behind the exit address |
Čtěte tabulku od hrozby směrem ven. Pokud jde o wi-fi v kavárně, mění se první řádek; pokud jde o poskytovatele, vyměnili jste jednoho provozovatele za jiného a druhý řádek teď záleží víc. Řádky nesoutěží; každý popisuje jinou pozici na stejné cestě.
Přístupová síť tunel stále vidí
Váš poskytovatel nebo hotelová síť vidí spojení na IP adresu, přenesené bajty a časy, kdy se pohybovaly. Nevidí stránky uvnitř tunelu, pokud i překlad jmen putuje uvnitř něj a cíl je dosažen přes výstup, nikoli přímo.
Dva úniky přežívají častěji, než lidé čekají. Dotazy DNS odeslané lokálnímu resolveru stále jmenují stránky a jméno serveru v běžném TLS handshake je na cestě čitelné, pokud se nepoužívá šifrovaný klientský pozdrav. Ani jedno nevyřeší instalace klienta; obojí je otázka konfigurace.
Provozovatel VPN a zaměstnavatel za ním
Komerční poskytovatel stojí přesně tam, kde stál váš poskytovatel internetu: přeposílá vaše pakety a může číst vše, co není zvlášť šifrované. Heslo napsané do obyčejného formuláře HTTP je na výstupu čitelné, i když byl první skok šifrovaný. Tunel přesunul důvěru, neodstranil vystavení. Přečtěte si zásady zaznamenávání poskytovatele, než budete předpokládat, že výměna něco zlepšila.
Na spravovaném pracovním notebooku vlastní koncový bod organizace, takže správa zařízení, záznamy DNS a záznamy proxy ho pozorují bez ohledu na to, zda je tunel připojen. Osobní VPN neudělá spravované zařízení soukromým a v mnoha sítích je to porušení zásad, nikoli opatření pro soukromí.
Provoz ostatních zařízení ve vaší domácnosti tomuto zaměstnavateli viditelný není, ledaže pracovní notebook záměrně funguje jako jejich brána. Ten rozdíl je důležitý, když domácnost sdílí jedno připojení a předpokládá to nejhorší.
Cíl a sousedé na výstupu
Stránka, kterou navštívíte, vidí výstupní adresu, účet, kterým jste se přihlásili, cookies a vlastnosti prohlížeče. Tunel mění jen první položku a přihlášení výstupní adresu stejně spojí s vámi.
Sdílené služby přidávají jemnější riziko. Pokud poskytovatel neizoluje zákazníky navzájem, může být stroj naslouchající na portu dostupný ostatním zákazníkům na stejném výstupu. Blokování příchozího provozu ve výchozím nastavení na firewallu hostitele pokrývá většinu tohoto rizika. Otestovat to znamená připojit druhé zařízení ke stejné službě a zkusit dosáhnout naslouchajícího portu.
Některé věci se nikdy nemění: identifikátory účtu, sledování na úrovni aplikace a to, že telefon sám ví, že předává provoz, když sdílíte připojení. Tunel je rozhodnutí o směrování, ne změna identity.
Vyberte pozorovatele, před kterým se skrýváte, dřív než vyberete produkt. Pokud je to lokální síť, pomůže téměř jakýkoli správně nastavený výstup. Pokud je to vlastní zaznamenávání poskytovatele, je smlouva součástí rozhodnutí. Pokud je to váš zaměstnavatel, žádný osobní tunel to neudělá.