Metadatos de VPN: qué puede ver todavía cada observador
El cifrado oculta el contenido, no el hecho de una conexión. Separa qué observan la red de acceso, la salida de VPN, el resolutor y el destino, y qué conserva cada uno.
El cifrado oculta qué enviaste, no que hayas enviado algo. Los tamaños, el momento y las direcciones externas siguen disponibles para partes en distintos puntos de la ruta. Cada observador recibe una porción distinta, y la pregunta de privacidad es qué puede sostener esa porción. Empieza por nombrar quién mira antes de decidir qué significa la exposición.
Nombra al observador antes de la afirmación
Cuatro posiciones importan en un túnel típico: tu red de acceso, la salida del operador de VPN, cualquier resolutor que reciba un nombre y el destino mismo. Cada una ve una combinación distinta de origen, destino, nombre, tamaño y tiempo. Una afirmación general sobre lo que revela una VPN es casi siempre una afirmación sobre una de esas posiciones.
| Observer | Usually visible | Not visible |
|---|---|---|
| Access network | VPN endpoint, volume, timing | Inner destinations |
| VPN exit | Your traffic, destination addresses | Your home address |
| Resolver | The names it resolves | Your full page content |
| Destination | Exit address, request, protocol details | Your physical location |
Mantenlas separadas en el análisis. Fusionarlas produce afirmaciones que no se pueden probar. La posición de un observador también decide qué podría obtener de él más adelante una solicitud legal.
Contenido y destino son preguntas distintas
El cifrado protege la carga útil de una conexión, y HTTPS la protege de nuevo en su propio intercambio. Las direcciones de destino, sin embargo, son información de enrutamiento, y la salida debe reenviar hacia ellas. Los resolutores DNS reciben los nombres que responden, y la visibilidad de otros nombres de host depende del protocolo utilizado. Suponer que cada intermediario ve una URL completa es tan erróneo como suponer que nadie ve nada.
Los identificadores de cuenta, las etiquetas de dispositivo y los ID de diagnóstico suelen vivir en sistemas de gestión en lugar de en campos de paquete. Una especificación de protocolo no describe la analítica que la rodea. Un túnel que oculta direcciones a la red de acceso todavía puede exponerlas a la salida, así que unos metadatos idénticos tienen distinto valor en manos distintas.
Lo observable no es retenido
Un punto final puede procesar datos para entregar tráfico sin mantener un historial de ellos. También puede retener diagnósticos, totales agregados o registros por cuenta durante un periodo limitado. Son comportamientos distintos con consecuencias distintas, y la palabra anónimo rara vez los distingue. Un paquete que pasa por un servidor no deja un registro automático de adónde fue.
Pregunta qué se recoge, si se vincula a una cuenta, cuánto tiempo se conserva y quién puede leerlo. Un total de todos los usuarios responde a una pregunta distinta de un registro con marca de tiempo ligado a una identidad. Esa distinción es la diferencia entre una política de privacidad y una frase de marketing.
Escribe la respuesta antes de comparar proveedores. Una garantía verbal no es una política de retención.
Haz preguntas concretas sobre la retención
Pon las preguntas por escrito antes de comparar productos. ¿Qué eventos se registran, con qué granularidad, durante cuánto tiempo y bajo el control de quién? ¿Los datos se agregan, se muestrean o se eliminan según un calendario? ¿Puede el operador producir un historial por cuenta si se le pide?
Esas respuestas pertenecen al registro de decisión. Sin ellas, la comparación es un concurso de eslóganes.
La guía de privacidad RFC 6973 es un marco útil para estas preguntas porque separa la minimización de datos de la retención y el uso secundario. Una lista que nombra el país de una salida te dice desde dónde te conectas. No dice nada sobre lo que ese operador almacena.