VPN-metadatenoj: kion ĉiu observanto ankoraŭ povas vidi
Ĉifrado kaŝas la enhavon, ne la fakton de konekto. Apartigu tion, kion observas la alirreto, la VPN-eliro, la solvilo kaj la celo, kaj kion ĉiu konservas.
Ĉifrado kaŝas tion, kion vi sendis, ne ke vi sendis ion. Grandoj, tempo kaj la eksteraj adresoj restas disponeblaj al partioj ĉe diversaj punktoj laŭ la vojo. Ĉiu observanto ricevas malsaman tranĉaĵon, kaj la privateca demando estas, kion tiu tranĉaĵo povas subteni. Komencu per nomado de tiu, kiu rigardas, antaŭ ol decidi, kion signifas la elmontro.
Nomu la observanton antaŭ la aserto
Kvar pozicioj gravas en tipa tunelo: via alirreto, la eliro de la VPN-funkciiganto, iu ajn solvilo, kiu ricevas nomon, kaj la celo mem. Ĉiu vidas malsaman kombinaĵon de fonto, celo, nomo, grando kaj tempo. Ĝenerala aserto pri tio, kion malkaŝas VPN, preskaŭ ĉiam estas aserto pri unu el tiuj pozicioj.
| Observer | Usually visible | Not visible |
|---|---|---|
| Access network | VPN endpoint, volume, timing | Inner destinations |
| VPN exit | Your traffic, destination addresses | Your home address |
| Resolver | The names it resolves | Your full page content |
| Destination | Exit address, request, protocol details | Your physical location |
Tenu ilin aparte en la analizo. Ilia kunfandado produktas asertojn, kiujn oni ne povas testi. La pozicio de observanto ankaŭ decidas, kion jura peto poste povus akiri de ĝi.
Enhavo kaj celo estas malsamaj demandoj
Ĉifrado protektas la utilan ŝarĝon de konekto, kaj HTTPS protektas ĝin denove en sia propra interŝanĝo. Celadresoj tamen estas enkursigaj informoj, kaj la eliro devas plusendi al ili. DNS-solviloj ricevas la nomojn, kiujn ili respondas, kaj la videbleco de aliaj gastigantnomoj dependas de la uzata protokolo. Supozi, ke ĉiu peranto vidas plenan URL, estas same malĝuste kiel supozi, ke neniu vidas ion ajn.
Kontaj identigiloj, aparatoj etikedoj kaj diagnozaj ID ofte loĝas en administraj sistemoj anstataŭ en pakitaj kampoj. Protokola specifo ne priskribas la analitikon ĉirkaŭ ĝi. Tunelo, kiu kaŝas adresojn de la alirreto, ankoraŭ povas elmontri ilin al la eliro, do identaj metadatenoj havas malsaman valoron en diversaj manoj.
Observabla ne estas konservata
Finpunkto povas prilabori datumojn por liveri trafikon sen konservi historion pri ĝi. Ĝi ankaŭ povas konservi diagnozojn, sumajn totalojn aŭ rekordojn laŭ konto por limigita periodo. Tiuj estas malsamaj kondutoj kun malsamaj sekvoj, kaj la vorto anonima malofte distingas ilin. Paketo, kiu pasas tra servilo, ne lasas aŭtomatan rekordon pri tio, kien ĝi iris.
Demandu, kio estas kolektata, ĉu ĝi estas ligita al konto, kiom longe ĝi estas konservata kaj kiu povas legi ĝin. Totalo trans ĉiuj uzantoj respondas al alia demando ol tempostampita rekordo ligita al unu identeco. Tiu distingo estas la diferenco inter privateca politiko kaj merkatika frazo.
Skribu la respondon antaŭ ol kompari provizantojn. Buŝa certigo ne estas konserva politiko.
Demandu konkretajn demandojn pri konservado
Metu la demandojn skribe antaŭ ol kompari produktojn. Kiuj eventoj estas protokolitaj, je kiu detalnivelo, kiom longe kaj sub kies kontrolo? Ĉu la datumoj estas agregataj, specimenigitaj aŭ forigitaj laŭ horaro? Ĉu la funkciiganto povas produkti historion laŭ konto, se oni petas?
Tiuj respondoj apartenas al la decida rekordo. Sen ili, la komparo estas konkurso de sloganoj.
La privateca gvidilo RFC 6973 estas utila kadro por tiuj demandoj, ĉar ĝi apartigas datumminimigon disde konservado kaj duaranga uzo. Listo, kiu nomas la landon de eliro, diras al vi, de kie vi konektiĝas. Ĝi diras nenion pri tio, kion tiu funkciiganto konservas.