VPN-metadata: hvad hver observatør stadig kan se
Kryptering skjuler indhold, ikke at der er en forbindelse. Adskil hvad adgangsnetværket, VPN-udgangen, resolvere og destinationen observerer, og hvad hver af dem gemmer.
Kryptering skjuler, hvad du sendte, ikke at du sendte noget. Størrelser, timing og de ydre adresser forbliver tilgængelige for parter på forskellige punkter langs ruten. Hver observatør får en forskellig skive, og spørgsmålet om privatliv er, hvad den skive kan understøtte. Begynd med at navngive, hvem der kigger, før du beslutter, hvad eksponeringen betyder.
Navngiv observatøren før påstanden
Fire positioner betyder noget i en typisk tunnel: dit adgangsnetværk, VPN-operatørens udgang, enhver resolver, der modtager et navn, og selve destinationen. Hver ser en forskellig kombination af kilde, destination, navn, størrelse og tid. En generel udtalelse om, hvad en VPN afslører, er næsten altid en udtalelse om en af disse positioner.
| Observer | Usually visible | Not visible |
|---|---|---|
| Access network | VPN endpoint, volume, timing | Inner destinations |
| VPN exit | Your traffic, destination addresses | Your home address |
| Resolver | The names it resolves | Your full page content |
| Destination | Exit address, request, protocol details | Your physical location |
Hold dem adskilt i analysen. At slå dem sammen giver påstande, der ikke kan testes. En observatørs position afgør også, hvad en juridisk anmodning senere kan få fra dem.
Indhold og destination er forskellige spørgsmål
Kryptering beskytter nyttelasten i en forbindelse, og HTTPS beskytter den igen i sin egen udveksling. Destinationsadresser er dog routingoplysninger, og udgangen skal videresende til dem. DNS-resolvere modtager de navne, de besvarer, og synligheden af andre værtsnavne afhænger af den anvendte protokol. At antage, at hver mellemmand ser en fuld URL, er lige så forkert som at antage, at ingen ser noget.
Konto-id’er, enhedsetiketter og diagnostiske id’er lever ofte i administrationssystemer frem for i pakkefelter. En protokolspecifikation beskriver ikke analyserne omkring den. En tunnel, der skjuler adresser for adgangsnetværket, kan stadig afsløre dem for udgangen, så identiske metadata har forskellig værdi i forskellige hænder.
Observerbart er ikke opbevaret
Et endepunkt kan behandle data for at levere trafik uden at føre historik over det. Det kan også opbevare diagnostik, samlede totaler eller poster per konto i en begrænset periode. Det er forskellig adfærd med forskellige konsekvenser, og ordet anonym skelner sjældent mellem dem. En pakke, der passerer en server, efterlader ingen automatisk registrering af, hvor den gik hen.
Spørg, hvad der indsamles, om det knyttes til en konto, hvor længe det opbevares, og hvem der kan læse det. En total på tværs af alle brugere besvarer et andet spørgsmål end en tidsstemplet post knyttet til én identitet. Den forskel er forskellen mellem en privatlivspolitik og en marketingsætning.
Skriv svaret ned, før du sammenligner udbydere. En mundtlig forsikring er ikke en opbevaringspolitik.
Stil konkrete spørgsmål om opbevaring
Skriv spørgsmålene ned, før du sammenligner produkter. Hvilke hændelser logges, med hvilken detaljeringsgrad, hvor længe og under hvis kontrol? Aggregeres dataene, samples de, eller slettes de efter en tidsplan? Kan operatøren producere en historik per konto, hvis der bliver spurgt?
De svar hører i beslutningsprotokollen. Uden dem er sammenligningen en konkurrence i slogans.
RFC 6973-privatlivsvejledningen er en nyttig ramme for disse spørgsmål, fordi den adskiller dataminimering fra opbevaring og sekundær brug. En liste, der angiver landet for en udgang, fortæller dig, hvor du opretter forbindelse. Den siger intet om hvad den operatør gemmer.