Kan en VPN-operatør se, hvilke websteder du besøger?

Spørg, hvad VPN'en kan se, og svaret afhænger af, hvor du står i ruten. På sessionslaget har operatøren godkendelseshændelser og byttetællinger. På pakkelaget har den destinationsadresser og timing. På DNS-laget har den måske selve navnene. Hvert lag besvarer et andet spørgsmål, og ingen enkelt kontakt flytter dig mellem dem.

Kortlæg laget, før du fremsætter en påstand

Den samme forbindelse giver forskellige registreringer ved hvert punkt, og en udtalelse om privatliv er kun meningsfuld, når den navngiver punktet. Læs tabellen kolonne for kolonne: hvad der findes på det lag, hvad en operatør kan se der, og hvad de samme registreringer stadig ikke kan fortælle dem.

At læse ét lag som det hele billede er, hvordan både overdrivelser og falsk tryghed starter. En udbyder, der siger, at den ikke logger browsing, kan være præcis om URL-logning og alligevel opbevare sessionsregistreringer, og en pakkeoptagelse, der kun viser adresser, bliver ikke til en browserhistorik uden omvendte opslag og gætværk.

Når du vurderer en politik, så find sætningen, der beskriver hvert lag. Hvis politikken ikke adskiller dem, så spørg, hvilke registreringer der findes, i stedet for at acceptere en generel udtalelse om kryptering.

Sessionsoversigt: hvad en standard OpenVPN-server gemmer

Lige ud af kassen opsnapper en OpenVPN server ikke trafik. Det normale output er en sessionsoversigt: den konto, der blev godkendt, kildeadressen den kom fra, tidsstempler for start og slut, den tildelte tunneladresse og byttetotalerne i hver retning. Det er en oversigt over sessioner, ikke en liste over destinationer.

Logningsindstillinger kan tilføje detaljer. Et højere detaljeringsniveau skriver mere om håndtrykket, og en statusfil kan liste tilsluttede klienter, men ingen af dem gør serveren til en transparent proxy. At producere URL'er kræver at afslutte TLS eller at køre en eksplicit proxy, og begge ændrer tillidsordningen i stedet for at aktivere en skjult funktion.

Det er derfor, den præcise version af påstanden om ingen browsinglog er smallere, end den lyder. Serveren kender ikke siden, men den ved, at en session fandtes, og nogenlunde hvor mange data der gik gennem den. Om den sessionsregistrering opbevares, og hvor længe, er et separat politikspørgsmål.

Indre og ydre pakker er forskellige beviser

En pakkeoptagelse er, hvordan du ser, hvad der faktisk går gennem tunnelen. På serveren skal du navngive tunnelegrænsefladen og skrive til en fil, der kan analyseres offline:

sudo tcpdump -ni tun0 -w /tmp/tun.pcap
sudo tcpdump -r /tmp/tun.pcap -nn | head

Den fil indeholder dekrypteret indre trafik: klientens tunneladresse som kilde, destinationsadressen og porten, pakkestørrelser og timing. Den indeholder ikke HTTP-stien eller svarlegemet, medmindre TLS blev afsluttet et sted, og det er følsomme data, hvis opbevaring er en politisk beslutning og ikke en fejlretningsbekvemmelighed.

En optagelse på den fysiske grænseflade viser noget andet. Der ser du ydre pakker adresseret til VPN-endepunktet med den krypterede last indeni. Urelaterede adresser i den fil er normale, når først en virtuel adapter findes, fordi tunnelanordningen bærer de indre strømme, mens den krypterede transport bærer de ydre.

Spørg, hvad optagelsen skal besvare. En applikations brug af tunnelen er synlig på den virtuelle adapter; tunnelens nåbarhed til endepunktet er synlig på den fysiske. At bruge en af filerne, som om den var det komplette billede, giver konklusioner, som dataene ikke kan understøtte.

DNS er, hvor navne bliver synlige

DNS forbliver den praktiske undtagelse. Resolveren ser de navne, den bliver bedt om at slå op, så den, der driver den, lærer, hvilke websteder en klient søger, selv når de senere forbindelser er krypterede. En tunneloptagelse viser adresser; resolveren viser navne.

Kontroller, hvilken adresse resolveren brugte til at nå en ekstern tjeneste. Svaret er resolverens udgangsadresse, og en sammenligning med VPN-udgangen fortæller dig, om forespørgslen rejste gennem tunnelen:

dig +short myip.opendns.com @resolver1.opendns.com
dig example.com
sudo tcpdump -ni any udp port 53

Hvis den adresse matcher den lokale forbindelse frem for tunneludgangen, omgik opslaget VPN'en, og navnet var synligt på den lokale rute. Gentag kontrollen efter en klientopdatering, fordi en ny version kan ændre, hvilken resolver profilen installerer.

Krypteret DNS flytter synligheden i stedet for at fjerne den. Netværket ser ikke længere forespørgslen, men resolveren gør stadig, og tillidsspørgsmålet skifter blot hænder. TLS-servernavnet i forbindelsens håndtryk er et andet delvist signal: det overlever ofte, selv når lasten er uigennemsigtig, så destinationsadresser er ikke de eneste metadata, en videresendende server kan observere.

Tre typer registreringer og hvem der kan læse dem

Sessionsafregning, registreringer pr. navn og lækagebeviser er tre forskellige produkter med tre forskellige forpligtelser. Sessionslogfiler er billige og har lav følsomhed, og de svarer på, hvem der koblede sig på og hvornår. Registreringer pr. navn kræver en loggende resolver eller en eksplicit proxy og skaber en oplysningsforpligtelse over for de berørte mennesker. Lækagebevis er en test på klientsiden, der sammenligner, hvad resolveren afslører, med tunneludgangen.

Skriv ned, hvilke af disse tre du kører, hvem der kan læse det, og hvor længe det bliver. Udsagn om, at en tjeneste ikke fører logfiler, beskriver ét lag, og de er kun sande inden for det område. Den samme udbyder kan være præcis om sessioner og tage fejl om DNS.

Hold testen reproducerbar: den samme resolverforespørgsel, den samme optagelsesgrænseflade og den samme sammenligning. En privatlivspåstand, der ikke kan testes på et navngivet lag, er et slogan, ikke en operationel kendsgerning.