Μπορεί ο πάροχος VPN να δει ποιους ιστότοπους επισκέπτεστε;

Ρωτήστε τι μπορεί να δει το VPN και η απάντηση εξαρτάται από πού στέκεστε στη διαδρομή. Στο επίπεδο της συνεδρίας ο πάροχος έχει συμβάντα ταυτοποίησης και μετρήσεις byte. Στο επίπεδο των πακέτων έχει διευθύνσεις προορισμού και χρονισμούς. Στο επίπεδο του DNS μπορεί να έχει τα ίδια τα ονόματα. Κάθε επίπεδο απαντά σε διαφορετικό ερώτημα και κανένας διακόπτης δεν σας μετακινεί μεταξύ τους.

Χαρτογραφήστε το επίπεδο πριν κάνετε ισχυρισμό

Η ίδια σύνδεση παράγει διαφορετικές εγγραφές σε κάθε σημείο και μια δήλωση για την ιδιωτικότητα έχει νόημα μόνο όταν ονομάζει το σημείο. Διαβάστε τον πίνακα στήλη προς στήλη: τι υπάρχει σε εκείνο το επίπεδο, τι μπορεί να δει εκεί ο πάροχος και τι δεν μπορούν ακόμη να του πουν αυτές οι ίδιες εγγραφές.

Το να διαβάζει κανείς ένα επίπεδο ως ολόκληρη την εικόνα είναι η αρχή και των υπερβολών και της ψευδούς καθησύχασης. Ένας πάροχος που λέει ότι δεν καταγράφει περιήγηση μπορεί να είναι ακριβής για την καταγραφή URL και παρόλα αυτά να κρατά εγγραφές συνεδριών, και μια σύλληψη πακέτων που δείχνει μόνο διευθύνσεις δεν γίνεται ιστορικό περιήγησης χωρίς αντίστροφες αναζητήσεις και εικασίες.

Όταν αξιολογείτε μια πολιτική, βρείτε την πρόταση που περιγράφει κάθε επίπεδο. Αν η πολιτική δεν τα διαχωρίζει, ρωτήστε ποιες εγγραφές υπάρχουν αντί να δεχτείτε μια γενική δήλωση για την κρυπτογράφηση.

Απογραφή συνεδριών: τι κρατά ένας τυπικός διακομιστής OpenVPN

Μόλις εγκατασταθεί, ένας διακομιστής OpenVPN δεν συλλαμβάνει κίνηση. Η συνήθης έξοδος είναι μια απογραφή συνεδριών: ο λογαριασμός που ταυτοποιήθηκε, η διεύθυνση προέλευσης από την οποία ήρθε, χρονικές σφραγίδες για την αρχή και το τέλος, η διεύθυνση σήραγγας που δόθηκε και τα σύνολα byte σε κάθε κατεύθυνση. Πρόκειται για απογραφή συνεδριών, όχι για κατάλογο προορισμών.

Οι επιλογές καταγραφής μπορούν να προσθέσουν λεπτομέρειες. Υψηλότερο επίπεδο λεπτομέρειας γράφει περισσότερα για τη χειραψία και ένα αρχείο κατάστασης μπορεί να απαριθμήσει συνδεδεμένους πελάτες, αλλά κανένα από τα δύο δεν μετατρέπει τον διακομιστή σε διαφανή διαμεσολαβητή. Για να παραχθούν URL χρειάζεται τερματισμός του TLS ή ρητός διαμεσολαβητής, και τα δύο αλλάζουν τη συμφωνία εμπιστοσύνης αντί να ενεργοποιούν μια κρυφή λειτουργία.

Γι' αυτό η ακριβής εκδοχή του ισχυρισμού περί μη καταγραφής περιήγησης είναι στενότερη απ' ό,τι ακούγεται. Ο διακομιστής δεν γνωρίζει τη σελίδα, αλλά γνωρίζει ότι υπήρξε συνεδρία και περίπου πόσα δεδομένα πέρασαν από αυτήν. Το αν τηρείται αυτή η εγγραφή συνεδρίας και για πόσο καιρό είναι ξεχωριστό ζήτημα πολιτικής.

Τα εσωτερικά και τα εξωτερικά πακέτα είναι διαφορετικά στοιχεία

Η σύλληψη πακέτων είναι ο τρόπος να δείτε τι περνά πραγματικά από τη σήραγγα. Στον διακομιστή, ονομάστε τη διεπαφή της σήραγγας και γράψτε σε ένα αρχείο που μπορεί να αναλυθεί εκτός σύνδεσης:

sudo tcpdump -ni tun0 -w /tmp/tun.pcap
sudo tcpdump -r /tmp/tun.pcap -nn | head

Αυτό το αρχείο περιέχει αποκρυπτογραφημένη εσωτερική κίνηση: τη διεύθυνση σήραγγας του πελάτη ως προέλευση, τη διεύθυνση και τη θύρα προορισμού, τα μεγέθη των πακέτων και τον χρονισμό. Δεν περιέχει τη διαδρομή HTTP ή το σώμα της απόκρισης εκτός αν το TLS τερματίστηκε κάπου, και είναι ευαίσθητα δεδομένα των οποίων η διατήρηση είναι απόφαση πολιτικής και όχι ευκολία αποσφαλμάτωσης.

Η σύλληψη στη φυσική διεπαφή δείχνει κάτι άλλο. Εκεί βλέπετε εξωτερικά πακέτα με προορισμό το τελικό σημείο του VPN, με το κρυπτογραφημένο φορτίο μέσα. Άσχετες διευθύνσεις που εμφανίζονται σε εκείνο το αρχείο είναι φυσιολογικές όταν υπάρχει εικονικός προσαρμογέας, γιατί η συσκευή σήραγγας μεταφέρει τις εσωτερικές ροές ενώ η κρυπτογραφημένη μεταφορά μεταφέρει τις εξωτερικές.

Ρωτήστε σε ποιο ερώτημα πρέπει να απαντήσει η σύλληψη. Η χρήση της σήραγγας από μια εφαρμογή είναι ορατή στον εικονικό προσαρμογέα· η προσβασιμότητα της σήραγγας προς το τελικό σημείο είναι ορατή στη φυσική διεπαφή. Η χρήση οποιουδήποτε από τα δύο αρχεία σαν να ήταν η πλήρης εικόνα παράγει συμπεράσματα που τα δεδομένα δεν στηρίζουν.

Το DNS είναι όπου τα ονόματα γίνονται ορατά

Το DNS παραμένει η πρακτική εξαίρεση. Ο resolver βλέπει τα ονόματα που του ζητείται να επιλύσει, οπότε όποιος τον διαχειρίζεται μαθαίνει ποιους ιστότοπους αναζητά ένας πελάτης ακόμη και όταν οι μεταγενέστερες συνδέσεις είναι κρυπτογραφημένες. Μια σύλληψη σήραγγας δείχνει διευθύνσεις· ο resolver δείχνει ονόματα.

Ελέγξτε ποια διεύθυνση χρησιμοποίησε ο resolver για να φτάσει σε μια εξωτερική υπηρεσία. Η απάντηση είναι η διεύθυνση εξόδου του resolver και η σύγκρισή της με την έξοδο του VPN σας λέει αν το ερώτημα ταξίδεψε μέσα από τη σήραγγα:

dig +short myip.opendns.com @resolver1.opendns.com
dig example.com
sudo tcpdump -ni any udp port 53

Αν αυτή η διεύθυνση ταιριάζει με την τοπική σύνδεση και όχι με την έξοδο της σήραγγας, η αναζήτηση παρέκαμψε το VPN και το όνομα ήταν ορατό στην τοπική διαδρομή. Επαναλάβετε τον έλεγχο μετά από ενημέρωση του πελάτη, γιατί μια νέα έκδοση μπορεί να αλλάξει ποιον resolver εγκαθιστά το προφίλ.

Το κρυπτογραφημένο DNS μετατοπίζει την ορατότητα αντί να την αφαιρεί. Το δίκτυο δεν βλέπει πλέον το ερώτημα, αλλά ο resolver το βλέπει ακόμη, και το ζήτημα εμπιστοσύνης απλώς αλλάζει χέρια. Το όνομα του διακομιστή TLS στη χειραψία της σύνδεσης είναι άλλο ένα μερικό σήμα: συχνά επιβιώνει ακόμη και όταν το φορτίο είναι αδιαφανές, οπότε οι διευθύνσεις προορισμού δεν είναι τα μόνα μεταδεδομένα που μπορεί να παρατηρήσει ένας διακομιστής προώθησης.

Τρία είδη εγγραφών και ποιος μπορεί να τα διαβάσει

Η λογιστική συνεδριών, οι εγγραφές ανά όνομα και τα στοιχεία διαρροής είναι τρία διαφορετικά προϊόντα με τρεις διαφορετικές υποχρεώσεις. Τα αρχεία συνεδριών είναι φθηνά και χαμηλής ευαισθησίας και απαντούν ποιος συνδέθηκε και πότε. Οι εγγραφές ανά όνομα απαιτούν resolver με καταγραφή ή ρητό διαμεσολαβητή και δημιουργούν υποχρέωση γνωστοποίησης προς τους ανθρώπους που επηρεάζονται. Τα στοιχεία διαρροής είναι δοκιμή στην πλευρά του πελάτη που συγκρίνει τι αποκαλύπτει ο resolver με την έξοδο της σήραγγας.

Καταγράψτε ποιο από αυτά τα τρία τρέχετε, ποιος μπορεί να το διαβάσει και πόσο καιρό μένει. Οι δηλώσεις ότι μια υπηρεσία δεν τηρεί αρχεία περιγράφουν ένα επίπεδο και παραμένουν αληθείς μόνο σε αυτό το εύρος. Ο ίδιος πάροχος μπορεί να είναι ακριβής για τις συνεδρίες και λανθασμένος για το DNS.

Κρατήστε τη δοκιμή αναπαραγώγιμη: το ίδιο ερώτημα στον resolver, την ίδια διεπαφή σύλληψης και την ίδια σύγκριση. Ένας ισχυρισμός ιδιωτικότητας που δεν μπορεί να ελεγχθεί σε ονομασμένο επίπεδο είναι σύνθημα, όχι λειτουργικό γεγονός.