Kes näeb teie VPN-liiklust? Neli vaatlejat
Kohalik võrk, VPN-operaator, tööandja ja sihtkoht näevad igaüks erinevat osa. Võrrelge neid enne, kui usaldate tunnelit privaatsuse huvides.
Tunnel muudab, kus teie liiklus muutub jälgitavaks. See ei muuda seda jälgimatuks ning nähtavuse saav pool on see, kelle kaudu te liikluse suunasite. Kas see vahetus on seda väärt, sõltub sellest, millist hüpet te ei usalda, seega on kasulik võrdlus vaatlejate vahel, mitte brändide vahel.
Ühel ühendusel istub neli poolt
Jälgige taotlust sülearvutist väljapoole ja ilmub neli positsiooni: juurdepääsuvõrk, millega liitusite, VPN-i väljund, ettevõtte keskkond, kui seade on hallatud, ja sihtkoht ise. Igaüks võtab teel erineva koha, seega kogub igaüks erinevat tüüpi tõendeid. Tabel on kogu argument ühes vaates.
| Observer | Sees | Does not see |
|---|---|---|
| Local network and ISP | That a tunnel exists, its endpoint, volume and timing | Destinations carried inside the tunnel |
| VPN operator | Source address, destinations, unencrypted content | Content protected end to end by TLS |
| Managed employer | Device telemetry, DNS and proxy logs, policy decisions | Nothing about the device is hidden from its owner |
| Destination | Exit address, account, cookies, client fingerprint | Who is behind the exit address |
Lugege tabelit ohu poolt väljapoole. Kui kohviku Wi-Fi on mure, muutub esimene rida; kui teenusepakkuja on mure, olete te vahetanud ühe operaatori teise vastu ja teine rida loeb nüüd rohkem. Read ei võistle; igaüks kirjeldab teistsugust positsiooni samal teel.
Juurdepääsuvõrk näeb tunnelit endiselt
Teie teenusepakkuja või hotellivõrk näeb ühendust IP-aadressiga, edastatud baite ja nende liikumise aegu. See ei näe tunnelis olevaid saite, eeldusel et ka nimelahendus liigub selle sees ja sihtkohta jõutakse väljundi kaudu, mitte otse.
Kaks leket jäävad ellu sagedamini, kui inimesed ootavad. Kohalikule lahendajale saadetud DNS-päringud nimetavad endiselt saite ja serveri nimi tavalises TLS-i käepigistuses on teel loetav, välja arvatud juhul, kui kasutatakse krüpteeritud kliendi tervitust. Kumbagi ei paranda kliendi paigaldamine; mõlemad on seadistamise küsimused.
VPN-operaator ja tööandja selle taga
Kommertsteenusepakkuja seisab täpselt seal, kus seisis teie teenusepakkuja: see edastab teie pakette ja saab lugeda kõike, mis ei ole eraldi krüpteeritud. Lihtsasse HTTP-vormi sisestatud parool on väljundis loetav, kuigi esimene hüpe oli krüpteeritud. Tunnel liigutas usaldust, see ei kõrvaldanud kokkupuudet. Lugege teenusepakkuja logimispoliitikat enne, kui eeldate, et vahetus midagi parandas.
Hallataval töösülearvutil kuulub lõpp-punkt organisatsioonile, seega jälgivad seadmehaldus, DNS-i logimine ja puhverserveri kirjed seda olenemata sellest, kas tunnel on ühendatud. Isiklik VPN ei muuda hallatavat seadet privaatseks ja paljudes võrkudes on see poliitika rikkumine, mitte privaatsusmeede.
Teie kodus olevate teiste seadmete liiklus ei ole sellele tööandjale nähtav, kui töösülearvuti ei tegutse teadlikult nende lüüsina. See erinevus loeb, kui leibkond jagab üht ühendust ja eeldab halvimat.
Sihtkoht ja naabrid väljundis
Külastatav sait näeb väljundi aadressi, kontot, millega sisse logisite, küpsiseid ja brauseri omadusi. Tunnel muudab ainult esimest üksust ja sisselogimine seob väljundi aadressi teiega ikkagi.
Jagatud teenused lisavad peenema riski. Kui teenusepakkuja ei isoleeri kliente üksteisest, võib porti kuulav masin olla teistele sama väljundi klientidele kättesaadav. Sissetuleva liikluse blokeerimine vaikimisi hosti tulemüüris katab suurema osa sellest riskist. Selle testimine tähendab teise seadme ühendamist sama teenusega ja katseid jõuda kuulava pordini.
Mõned asjad ei muutu kunagi: konto identifikaatorid, rakenduste tasandil jälgimine ja telefoni enda teadmine, et see edastab liiklust, kui ühendust jagate. Tunnel on marsruutimisotsus, mitte identiteedi muutus.
Valige vaatleja, kelle eest peidate, enne kui toote valite. Kui see on kohalik võrk, aitab peaaegu iga õigesti seadistatud väljund. Kui see on teenusepakkuja enda logimine, on leping otsuse osa. Kui see on teie tööandja, ei tee ükski isiklik tunnel seda tööd.