Ποιος βλέπει την κίνηση του VPN σας; Τέσσερις παρατηρητές
Το τοπικό δίκτυο, ο πάροχος VPN, ο εργοδότης και ο προορισμός βλέπουν ο καθένας ένα διαφορετικό κομμάτι. Συγκρίνετέ τους πριν εμπιστευτείτε ένα τούνελ για ιδιωτικότητα.
Ένα τούνελ αλλάζει το σημείο όπου η κίνησή σας γίνεται παρατηρήσιμη. Δεν την καθιστά μη παρατηρήσιμη, και το μέρος που κερδίζει ορατότητα είναι εκείνο από το οποίο δρομολογήσατε την κίνηση. Το αν αυτή η ανταλλαγή αξίζει εξαρτάται από το άλμα που δεν εμπιστεύεστε, οπότε η χρήσιμη σύγκριση είναι ανάμεσα στους παρατηρητές και όχι ανάμεσα στις μάρκες.
Τέσσερα μέρη κάθονται σε μία σύνδεση
Ακολουθήστε ένα αίτημα από τον φορητό υπολογιστή προς τα έξω και εμφανίζονται τέσσερις θέσεις: το δίκτυο πρόσβασης στο οποίο συνδεθήκατε, η έξοδος VPN, το εταιρικό περιβάλλον αν η συσκευή διαχειρίζεται, και ο ίδιος ο προορισμός. Κάθε μία καταλαμβάνει διαφορετικό σημείο στη διαδρομή, άρα κάθε μία συλλέγει διαφορετικό είδος στοιχείων. Ο πίνακας είναι όλο το επιχείρημα σε μία ματιά.
| Observer | Sees | Does not see |
|---|---|---|
| Local network and ISP | That a tunnel exists, its endpoint, volume and timing | Destinations carried inside the tunnel |
| VPN operator | Source address, destinations, unencrypted content | Content protected end to end by TLS |
| Managed employer | Device telemetry, DNS and proxy logs, policy decisions | Nothing about the device is hidden from its owner |
| Destination | Exit address, account, cookies, client fingerprint | Who is behind the exit address |
Διαβάστε τον πίνακα από την απειλή προς τα έξω. Αν το Wi-Fi του καφέ είναι η ανησυχία, αλλάζει η πρώτη γραμμή, ενώ αν ο πάροχος είναι η ανησυχία, έχετε ανταλλάξει τον έναν πάροχο με άλλον και η δεύτερη γραμμή μετράει πλέον περισσότερο. Οι γραμμές δεν ανταγωνίζονται, καθεμία περιγράφει διαφορετική θέση στην ίδια διαδρομή.
Το δίκτυο πρόσβασης βλέπει ακόμη το τούνελ
Ο πάροχός σας ή το δίκτυο του ξενοδοχείου βλέπει μια σύνδεση προς μια διεύθυνση IP, τα byte που μεταφέρθηκαν και τις ώρες που κινήθηκαν. Δεν βλέπει τους ιστότοπους μέσα στο τούνελ, υπό τον όρο ότι και η επίλυση ονομάτων ταξιδεύει μέσα σε αυτό και ο προορισμός φτάνεται μέσω της εξόδου και όχι απευθείας.
Δύο διαρροές επιβιώνουν συχνότερα απ' ό,τι περιμένουν οι άνθρωποι. Τα ερωτήματα DNS προς τον τοπικό resolver εξακολουθούν να ονομάζουν τους ιστότοπους, και το όνομα του διακομιστή σε ένα συνηθισμένο TLS handshake είναι αναγνώσιμο στη διαδρομή εκτός αν χρησιμοποιείται κρυπτογραφημένος χαιρετισμός πελάτη. Κανένα δεν διορθώνεται με εγκατάσταση πελάτη· και τα δύο είναι ζητήματα διαμόρφωσης.
Ο πάροχος VPN και ο εργοδότης πίσω του
Ένας εμπορικός πάροχος στέκεται ακριβώς εκεί που στεκόταν ο πάροχός σας: προωθεί τα πακέτα σας και μπορεί να διαβάσει ό,τι δεν είναι ξεχωριστά κρυπτογραφημένο. Ένας κωδικός που πληκτρολογείται σε απλή φόρμα HTTP είναι αναγνώσιμος στην έξοδο, παρόλο που το πρώτο άλμα ήταν κρυπτογραφημένο. Το τούνελ μετακίνησε την εμπιστοσύνη, δεν διέγραψε την έκθεση. Διαβάστε την πολιτική καταγραφής του παρόχου πριν υποθέσετε ότι η ανταλλαγή βελτίωσε κάτι.
Σε διαχειριζόμενο φορητό υπολογιστή εργασίας ο οργανισμός κατέχει το τελικό σημείο, οπότε η διαχείριση συσκευών, η καταγραφή DNS και τα αρχεία του proxy το παρατηρούν ανεξάρτητα από το αν είναι συνδεδεμένο τούνελ. Ένα προσωπικό VPN δεν κάνει μια διαχειριζόμενη συσκευή ιδιωτική, και σε πολλά δίκτυα είναι παράβαση πολιτικής και όχι μέτρο ιδιωτικότητας.
Η κίνηση από άλλες συσκευές στο σπίτι σας δεν είναι ορατή σε αυτόν τον εργοδότη, εκτός αν ο φορητός της εργασίας λειτουργεί σκόπιμα ως πύλη τους. Αυτή η διάκριση μετράει όταν ένα νοικοκυριό μοιράζεται μία σύνδεση και υποθέτει το χειρότερο.
Ο προορισμός και οι γείτονες στην έξοδο
Ο ιστότοπος που επισκέπτεστε βλέπει τη διεύθυνση εξόδου, τον λογαριασμό με τον οποίο συνδεθήκατε, τα cookies και τα χαρακτηριστικά του προγράμματος περιήγησης. Ένα τούνελ αλλάζει μόνο το πρώτο στοιχείο, και η σύνδεση δένει τη διεύθυνση εξόδου με εσάς ούτως ή άλλως.
Οι κοινόχρηστες υπηρεσίες προσθέτουν ένα λεπτότερο ρίσκο. Αν ο πάροχος δεν απομονώνει τους πελάτες μεταξύ τους, ένα μηχάνημα που ακούει σε μια θύρα μπορεί να είναι προσβάσιμο από άλλους πελάτες στην ίδια έξοδο. Ο αποκλεισμός της εισερχόμενης κίνησης εξ ορισμού στο firewall του κεντρικού υπολογιστή καλύπτει το μεγαλύτερο μέρος αυτού του ρίσκου. Το να το δοκιμάσετε σημαίνει να συνδέσετε μια δεύτερη συσκευή στην ίδια υπηρεσία και να προσπαθήσετε να φτάσετε σε μια θύρα που ακούει.
Κάποια πράγματα δεν αλλάζουν ποτέ: τα αναγνωριστικά λογαριασμού, η παρακολούθηση σε επίπεδο εφαρμογής, και η γνώση του ίδιου του τηλεφώνου ότι προωθεί κίνηση όταν μοιράζεστε τη σύνδεση. Ένα τούνελ είναι απόφαση δρομολόγησης, όχι αλλαγή ταυτότητας.
Επιλέξτε τον παρατηρητή από τον οποίο κρύβεστε πριν επιλέξετε προϊόν. Αν είναι το τοπικό δίκτυο, σχεδόν κάθε σωστά ρυθμισμένη έξοδος βοηθά. Αν είναι η καταγραφή του ίδιου του παρόχου, το συμβόλαιο είναι μέρος της απόφασης. Αν είναι ο εργοδότης σας, κανένα προσωπικό τούνελ δεν θα κάνει τη δουλειά.