Wer kann Ihren VPN-Verkehr sehen? Vier Beobachter
Lokales Netz, VPN-Betreiber, Arbeitgeber und Ziel sehen jeweils einen anderen Ausschnitt. Vergleichen Sie sie, bevor Sie einem Tunnel in Sachen Privatsphäre vertrauen.
Ein Tunnel verändert, wo Ihr Verkehr beobachtbar wird. Er macht ihn nicht unbeobachtbar, und die Partei, die Sichtbarkeit gewinnt, ist die, durch die Sie geroutet haben. Ob dieser Tausch sich lohnt, hängt davon ab, welchem Sprung Sie misstrauen, daher ist der nützliche Vergleich der zwischen den Beobachtern und nicht zwischen Marken.
Vier Parteien sitzen an einer Verbindung
Folgen Sie einer Anfrage vom Laptop nach außen, und vier Positionen erscheinen: das Zugangsnetz, dem Sie beigetreten sind, der VPN-Ausgang, das Unternehmensnetz, wenn das Gerät verwaltet wird, und das Ziel selbst. Jede nimmt einen anderen Platz im Pfad ein, also sammelt jede eine andere Art von Belegen. Die Tabelle ist das ganze Argument in einer Ansicht.
| Observer | Sees | Does not see |
|---|---|---|
| Local network and ISP | That a tunnel exists, its endpoint, volume and timing | Destinations carried inside the tunnel |
| VPN operator | Source address, destinations, unencrypted content | Content protected end to end by TLS |
| Managed employer | Device telemetry, DNS and proxy logs, policy decisions | Nothing about the device is hidden from its owner |
| Destination | Exit address, account, cookies, client fingerprint | Who is behind the exit address |
Lesen Sie die Tabelle von der Bedrohung nach außen. Wenn das Café-WLAN das Problem ist, ändert sich die erste Zeile; wenn der Anbieter das Problem ist, haben Sie einen Betreiber gegen einen anderen getauscht und die zweite Zeile zählt nun mehr. Die Zeilen konkurrieren nicht; jede beschreibt eine andere Position auf demselben Pfad.
Das Zugangsnetz sieht den Tunnel weiterhin
Ihr Anbieter oder das Hotelnetz sieht eine Verbindung zu einer IP-Adresse, die übertragenen Bytes und die Zeiten, zu denen sie sich bewegten. Es sieht die Seiten innerhalb des Tunnels nicht, sofern auch die Namensauflösung im Tunnel läuft und das Ziel über den Ausgang statt direkt erreicht wird.
Zwei Lecks überleben häufiger, als Menschen erwarten. DNS-Abfragen an den lokalen Resolver benennen die Seiten weiterhin, und der Servername in einem gewöhnlichen TLS-Handshake ist auf dem Pfad lesbar, sofern nicht verschlüsselte Client-Hello verwendet wird. Keines davon wird durch die Installation eines Clients behoben; beides sind Konfigurationsfragen.
Der VPN-Betreiber und der Arbeitgeber dahinter
Ein kommerzieller Anbieter steht genau dort, wo Ihr Anbieter stand: er leitet Ihre Pakete weiter und kann alles lesen, was nicht gesondert verschlüsselt ist. Ein Passwort, das in ein einfaches HTTP-Formular getippt wird, ist am Ausgang lesbar, obwohl der erste Sprung verschlüsselt war. Der Tunnel hat das Vertrauen verschoben, er hat die Bloßstellung nicht beseitigt. Lesen Sie die Protokollierungsrichtlinie des Anbieters, bevor Sie annehmen, der Tausch habe etwas verbessert.
Auf einem verwalteten Arbeitslaptop besitzt die Organisation den Endpunkt, daher beobachten Geräteverwaltung, DNS-Protokollierung und Proxy-Aufzeichnungen ihn unabhängig davon, ob ein Tunnel verbunden ist. Ein persönliches VPN macht ein verwaltetes Gerät nicht privat, und in vielen Netzen ist es ein Richtlinienverstoß statt einer Datenschutzmaßnahme.
Verkehr anderer Geräte in Ihrem Zuhause ist für diesen Arbeitgeber nicht sichtbar, es sei denn, der Arbeitslaptop fungiert bewusst als deren Gateway. Dieser Unterschied zählt, wenn ein Haushalt eine Verbindung teilt und das Schlimmste annimmt.
Das Ziel und die Nachbarn am Ausgang
Die Seite, die Sie besuchen, sieht die Ausgangsadresse, das Konto, mit dem Sie sich angemeldet haben, Cookies und Browsermerkmale. Ein Tunnel ändert nur den ersten Punkt, und die Anmeldung bindet die Ausgangsadresse ohnehin an Sie.
Gemeinsame Dienste fügen ein feineres Risiko hinzu. Isoliert der Anbieter Kunden nicht voneinander, kann eine Maschine, die auf einem Port lauscht, von anderen Kunden am selben Ausgang erreichbar sein. Eingehenden Verkehr standardmäßig an der Host-Firewall zu blockieren, deckt den größten Teil dieses Risikos ab. Es zu testen heißt, ein zweites Gerät mit demselben Dienst zu verbinden und einen lauschenden Port zu erreichen zu versuchen.
Manches ändert sich nie: Kontokennungen, Tracking auf Anwendungsebene und das Wissen des Telefons selbst, dass es Verkehr weiterleitet, wenn Sie die Verbindung teilen. Ein Tunnel ist eine Routingentscheidung, kein Identitätswechsel.
Wählen Sie den Beobachter, vor dem Sie sich verstecken, bevor Sie ein Produkt wählen. Ist es das lokale Netz, hilft fast jeder korrekt konfigurierte Ausgang. Ist es die Protokollierung des Anbieters selbst, gehört der Vertrag zur Entscheidung. Ist es Ihr Arbeitgeber, wird kein persönlicher Tunnel die Aufgabe erfüllen.