Τι μπορεί να δει ο πάροχος VPN σας και τι δεν μπορεί
Η έξοδος βλέπει διευθύνσεις, χρονισμούς και, εκτός αν χρησιμοποιείται Encrypted Client Hello, το όνομα του ιστότοπου στη χειραψία TLS. Η διατήρηση είναι ξεχωριστό ζήτημα.
Το τούνελ σας κρατά το τοπικό δίκτυο έξω από την κίνησή σας. Δεν αφαιρεί όμως την εταιρεία στο άλλο άκρο, η οποία χειρίζεται κάθε πακέτο πριν φτάσει στο ανοιχτό διαδίκτυο. Αυτή η θέση είναι ταυτόχρονα το επιχειρηματικό μοντέλο και το ζήτημα απορρήτου. Επομένως το χρήσιμο ερώτημα δεν είναι αν ο πάροχος μπορεί να σας δει, αλλά τι βλέπει, τι μπορεί να ονομάσει και τι διατηρεί.
Πού μετακινείται στην πραγματικότητα η εμπιστοσύνη
Η κρυπτογράφηση τρέχει από τη συσκευή σας στον διακομιστή του παρόχου, και αυτό το εξωτερικό σκέλος είναι το μόνο που βλέπει ποτέ το τοπικό σας δίκτυο. Ο πάροχος κρατά το άλλο άκρο του σκέλους, άρα αποκρυπτογραφεί το τούνελ και προωθεί τα πακέτα σας. Δεν υπάρχει κάποιο σφάλμα σε αυτό· είναι ο ορισμός της υπηρεσίας που αγοράσατε. Η εμπιστοσύνη μετακινήθηκε από τον τοπικό πάροχο στον πάροχο της εξόδου αντί να εξαφανιστεί.
Από αυτή τη θέση μαθαίνει τη διεύθυνση προέλευσής σας, πότε συνδεθήκατε, περίπου πόσα μεταφέρατε και ποιους προορισμούς προσεγγίσατε. Κανένα από αυτά δεν απαιτεί την ανάγνωση των μηνυμάτων σας, και αυτό είναι το νόημα του διαχωρισμού των κατηγοριών. Οι ενδιαφέρουσες διαφορές μεταξύ παρόχων αφορούν το τι συμβαίνει με αυτές τις παρατηρήσεις μετά.
Τι χειρίζεται η έξοδος αναγκαστικά
Ταξινομήστε τις κατηγορίες κατά το πόσο αξιόπιστα μπορεί να τις δει η έξοδος. Καμία από τις γραμμές δεν απαιτεί σπάσιμο κρυπτογράφησης, και κάθε μία έχει διαφορετική απάντηση στο αν μπορεί να αποφευχθεί καθόλου.
| Category | Visible at the exit | Why |
|---|---|---|
| Your public address | Always | It is the address the tunnel arrives from |
| Connection times and volume | Always | Accounting data, not content |
| Destination IP addresses | Always | The exit has to route the packets |
| HTTPS hostname (SNI) | Normally, unless ECH is used | Sent in the clear in the TLS ClientHello |
| DNS names | Only if DNS is plaintext | DoH or DoT hides the query; plaintext is readable by the forwarder |
| Page paths and form contents | Not normally | Protected by the destination site's TLS session |
Η τέταρτη γραμμή είναι αυτό που χάνουν τα περισσότερα νοητικά μοντέλα. Ένας σύγχρονος φυλλομετρητής βάζει το όνομα του ιστότοπου στο ClientHello, το πρώτο μήνυμα της χειραψίας TLS, και αυτό το πεδίο είναι αναγνώσιμο στην έξοδο ακόμη και όταν κάθε ερώτημα DNS είναι κρυπτογραφημένο από άκρη σε άκρη. Εκτός αν διαπραγματευτεί το Encrypted Client Hello, το όνομα ταξιδεύει σε καθαρό κείμενο δίπλα στη διεύθυνση προορισμού. Το κρυπτογραφημένο DNS αλλάζει ποιος βλέπει το ερώτημα, όχι ποιος βλέπει το όνομα.
Το ίδιο ισχύει για τα πιστοποιητικά σε παλαιότερες συνδέσεις· το TLS 1.3 κρυπτογραφεί το πιστοποιητικό του διακομιστή, ενώ μια χειραψία TLS 1.2 μπορεί να εκθέσει το όνομα σε παρατηρητή που καταγράφει τη ροή. Και τα δύο είναι γεγονότα της μεταφοράς και όχι πολιτική του παρόχου.
Τι καλύπτει το TLS και τι όχι
Όταν ένας ιστότοπος προσφέρει HTTPS, ο φυλλομετρητής σας χτίζει σύνδεση TLS με το τελικό σημείο εκείνου του ιστότοπου, όχι με τον διακομιστή VPN. Ο πάροχος προωθεί κρυπτογραφημένες εγγραφές και μαθαίνει τη διεύθυνση προορισμού, τον χρονισμό και τα κατά προσέγγιση μεγέθη. Το όνομα του ιστότοπου ταξιδεύει στο ClientHello εκτός αν παίζει ρόλο το ECH, και το σώμα της σελίδας παραμένει κρυπτογραφημένο και στις δύο περιπτώσεις. Ένα μη αναμενόμενο πιστοποιητικό ρίζας αλλάζει αυτό το όριο, γι' αυτό οι προειδοποιήσεις πιστοποιητικών αξίζουν σεβασμό.
Το απλό HTTP δεν έχει τέτοια προστασία πέρα από την έξοδο. Το τούνελ προστατεύει το σκέλος προς τον πάροχο, και μετά το αίτημα ταξιδεύει ακριβώς όπως θα ταξίδευε χωρίς VPN. Το ECH δεν το διορθώνει αυτό, γιατί προστατεύει το όνομα και όχι το περιεχόμενο.
Η διατήρηση είναι ξεχωριστό ερώτημα από την ορατότητα
Ένας χειριστής μπορεί να επεξεργάζεται δεδομένα σύνδεσης στη μνήμη και να μη διατηρεί τίποτα, ή να διατηρεί ένα υποσύνολο και να το περιγράφει με ακρίβεια ως μη ιστορικό περιήγησης. Διαβάστε έναν ισχυρισμό μηδενικών αρχείων καταγραφής κατά κατηγορία και όχι κατά σύνθημα· αρχεία σύνδεσης, χρονικές σημάνσεις, σύνολα όγκου, δεδομένα προορισμών, αναγνωριστικά λογαριασμού και μηνύματα υποστήριξης όλα μετράνε. Ένας πάροχος μπορεί ειλικρινά να μην τηρεί αρχεία περιήγησης και ταυτόχρονα να κρατά την εγγραφή λογαριασμού και τα μεταδεδομένα που χρειάζεται για να λειτουργεί η υπηρεσία. Η ορατότητα δεν σας λέει ποια από αυτές τις κατηγορίες αποθηκεύεται.
Ένας έλεγχος είναι απόδειξη για τα συστήματα και το χρονικό παράθυρο που κάλυψε, και ο κώδικας πελάτη ανοιχτού κώδικα περιγράφει τον πελάτη και όχι τους διακομιστές. Και τα δύο είναι χρήσιμα, και κανένα δεν μιλά για κάθε σύστημα αποθήκευσης πίσω από την έξοδο. Ζητήστε το εύρος ενός ελέγχου, όχι το σήμα του.
Ερωτήσεις που ξεχωρίζουν τους παρόχους
Ρωτήστε τι διατηρείται, για πόσο καιρό και ποιος μπορεί να το ανακτήσει. Ρωτήστε ποιος λειτουργεί την έξοδο, γιατί μια καταχώριση καταλόγου, ένας προγραμματιστής εφαρμογής και το άτομο που τρέχει έναν συγκεκριμένο διακομιστή μπορεί να είναι τρία διαφορετικά μέρη. Ρωτήστε πώς χειρίζεται το DNS και αν το ECH υποστηρίζεται στις διαδρομές που χρησιμοποιείτε, αφού ένα ClientHello σε καθαρό κείμενο ονομάζει τον ιστότοπο ακόμη και χωρίς ερώτημα DNS. Ρωτήστε τι συμβαίνει σε νομικό αίτημα, και διαβάστε την απάντηση ως περιγραφή δυνατότητας και όχι πρόθεσης.
Ο οδηγός του EFF για την επιλογή VPN είναι μια λογική λίστα ελέγχου για αυτές τις ερωτήσεις, και είναι πλαίσιο και όχι ετυμηγορία για οποιαδήποτε υπηρεσία. Μια σελίδα μάρκετινγκ δεν είναι πολιτική διατήρησης. Τίποτα από αυτά δεν κάνει ένα VPN άχρηστο· αλλάζει σε ποιον πρέπει να βασίζεστε και για τι.