Ĉu VPN-operaciisto povas vidi, kiujn retejojn vi vizitas?

Demandu, kion la VPN povas vidi, kaj la respondo dependas de kie vi staras sur la vojo. Ĉe la sesia tavolo la operaciisto havas aŭtentikigajn eventojn kaj bajtajn nombrojn. Ĉe la paketa tavolo ĝi havas celadresojn kaj tempojn. Ĉe la DNS-tavolo ĝi eble havas la nomojn mem. Ĉiu tavolo respondas al malsama demando, kaj neniu ŝaltilo movas vin inter ili.

Mapu la tavolon antaŭ ol fari aserton

La sama konekto produktas malsamajn registrojn ĉe ĉiu punkto, kaj aserto pri privateco havas sencon nur kiam ĝi nomas la punkton. Legu la tabelon kolumne: kio ekzistas ĉe tiu tavolo, kion operaciisto povas tie vidi, kaj kion tiuj samaj registroj ankoraŭ ne povas diri al li.

Legi unu tavolon kiel la tutan bildon estas kiel komenciĝas kaj troigoj kaj falsa trankviligo. Provizanto, kiu diras, ke ĝi ne registras retumadon, povas esti preciza pri URL-registrado dum ĝi ankoraŭ tenas sesiajn registrojn, kaj paketa kaptaĵo, kiu montras nur adresojn, ne fariĝas retumhistorio sen inversaj serĉoj kaj konjektoj.

Kiam vi taksas politikon, trovu la frazon, kiu priskribas ĉiun tavolon. Se la politiko ne apartigas ilin, demandu, kiuj registroj ekzistas, anstataŭ akcepti ĝeneralan aserton pri ĉifrado.

Sesia inventaro: kion tenas norma OpenVPN-servilo

Tuj post instalado, OpenVPN servilo ne kaptas trafikon. La ordinara eligo estas sesia inventaro: la konto, kiu aŭtentikiĝis, la fonta adreso de kie ĝi venis, tempomarkoj por komenco kaj fino, la donita tunela adreso kaj la bajtaj sumoj en ĉiu direkto. Tio estas inventaro de sesioj, ne listo de celoj.

Registraj opcioj povas aldoni detalon. Pli alta detala nivelo skribas pli pri la manpremo, kaj stata dosiero povas listigi konektitajn klientojn, sed nek unu nek la alia igas la servilon travidebla prokurilo. Por produkti URL-ojn necesas finigi TLS aŭ funkciigi eksplicitan prokurilon, kaj ambaŭ ŝanĝas la fidan aranĝon anstataŭ ebligi kaŝitan funkcion.

Tial la preciza versio de la aserto pri neniu retumada registro estas pli mallarĝa ol ĝi sonas. La servilo ne scias la paĝon, sed ĝi scias, ke sesio ekzistis kaj proksimume kiom da datumoj trapasis ĝin. Ĉu tiu sesia registro estas konservata, kaj kiom longe, estas aparta politika demando.

Internaj kaj eksteraj pakoj estas malsamaj pruvoj

Paketa kaptaĵo estas kiel vi vidas, kio efektive trapasas la tunelon. Sur la servilo, nomu la tunelan interfacon kaj skribu al dosiero analizebla eksterrete:

sudo tcpdump -ni tun0 -w /tmp/tun.pcap
sudo tcpdump -r /tmp/tun.pcap -nn | head

Tiu dosiero enhavas malĉifritan internan trafikon: la tunelan adreson de la kliento kiel fonton, la celadreson kaj pordon, pakaĵgrandojn kaj tempojn. Ĝi ne enhavas la HTTP-vojon aŭ la respondkorpon krom se TLS estis finigita ie, kaj ĝi estas sentema datumo, kies konservado estas politika decido, ne oportunumo por sencimigado.

Kaptaĵo ĉe la fizika interfaco montras ion alian. Tie vi vidas eksterajn pakojn adresitajn al la VPN-fina punkto, kun la ĉifrita ŝarĝo interne. Neligitaj adresoj en tiu dosiero estas normalaj post kiam ekzistas virtuala adaptilo, ĉar la tunela aparato portas la internajn fluojn dum la ĉifrita transporto portas la eksterajn.

Demandu, al kiu demando la kaptaĵo devas respondi. La uzo de tunelo fare de aplikaĵo videblas ĉe la virtuala adaptilo; la atingeblo de la tunelo ĝis la fina punkto videblas ĉe la fizika. Uzi iun ajn dosieron kvazaŭ ĝi estus la kompleta bildo produktas konkludojn, kiujn la datumoj ne povas subteni.

DNS estas kie nomoj fariĝas videblaj

DNS restas la praktika escepto. La resolvilo vidas la nomojn, kiujn oni petas ĝin solvi, do kiu ajn funkciigas ĝin lernas, kiujn retejojn kliento serĉas, eĉ kiam la postaj konektoj estas ĉifritaj. Tunela kaptaĵo montras adresojn; la resolvilo montras nomojn.

Kontrolu, kiun adreson la resolvilo uzis por atingi eksteran servon. La respondo estas la elira adreso de la resolvilo, kaj komparo kun la VPN-eliro diras al vi, ĉu la demando vojaĝis tra la tunelo:

dig +short myip.opendns.com @resolver1.opendns.com
dig example.com
sudo tcpdump -ni any udp port 53

Se tiu adreso kongruas kun la loka konekto anstataŭ kun la tunela eliro, la serĉo preteriris la VPN-on kaj la nomo estis videbla sur la loka vojo. Ripetu la kontrolon post klienta ĝisdatigo, ĉar nova versio povas ŝanĝi, kiun resolvilon la profilo instalas.

Ĉifrita DNS movas la videblecon anstataŭ forigi ĝin. La reto ne plu vidas la demandon, sed la resolvilo ankoraŭ vidas ĝin, kaj la fida demando simple ŝanĝas manojn. La TLS-servila nomo en la konekta manpremo estas alia partea signalo: ĝi ofte postvivas eĉ kiam la ŝarĝo estas netravidebla, do celadresoj ne estas la solaj metadatumoj, kiujn plusenda servilo povas observi.

Tri specoj de registroj kaj kiu povas legi ilin

Sesia kalkulado, registroj laŭ nomo kaj likaj pruvoj estas tri malsamaj produktoj kun tri malsamaj devoj. Sesiaj protokoloj estas malmultekostaj kaj malmulte sentemaj, kaj ili respondas, kiu konektiĝis kaj kiam. Registroj laŭ nomo postulas registran resolvilon aŭ eksplicitan prokurilon, kaj ili kreas devon diskonigi al la tuŝitaj homoj. Lika pruvo estas testo ĉe la klienta flanko, kiu komparas, kion la resolvilo malkaŝas, kun la tunela eliro.

Notu, kiun el tiuj tri vi funkciigas, kiu povas legi ĝin kaj kiom longe ĝi restas. Asertoj, ke servo tenas neniujn protokolojn, priskribas unu tavolon, kaj ili restas veraj nur ene de tiu amplekso. La sama provizanto povas esti preciza pri sesioj kaj malprava pri DNS.

Tenu la teston ripetebla: la sama demando al la resolvilo, la sama kapta interfaco kaj la sama komparo. Privateca aserto, kiun oni ne povas testi ĉe nomita tavolo, estas slogano, ne operacia fakto.