Nork ikus dezake zure VPN trafikoa? Lau behatzaile
Sare lokalak, VPN operadoreak, enpresaburuak eta helmugak zati desberdin bat ikusten dute bakoitzak. Konparatu itzazu tunel batean konfiantza hartu aurretik pribatutasunerako.
Tunel batek zure trafikoa behatzeko modukoa den lekua aldatzen du. Ez du behatzeko modukoa ez denik egiten, eta ikusgaitasuna lortzen duen aldea zuk trafikoa bideratu duzun aldea da. Truke hori merezi duen ala ez zalantzan jartzen duzun jauziaren araberakoa da, beraz konparazio erabilgarria behatzaileen artean da, ez marken artean.
Lau alderdi esertzen dira konexio bakarrean
Jarraitu ordenagailu eramangarritik kanpora doan eskaera bat eta lau posizio agertzen dira: sartu zinen sarbide-sarea, VPN irteera, gailua kudeatuta badago enpresa-ingurunea, eta helmuga bera. Bakoitzak leku desberdina hartzen du bidean, beraz bakoitzak froga mota desberdinak biltzen ditu. Taula da argumentu osoa begirada bakarrean.
| Observer | Sees | Does not see |
|---|---|---|
| Local network and ISP | That a tunnel exists, its endpoint, volume and timing | Destinations carried inside the tunnel |
| VPN operator | Source address, destinations, unencrypted content | Content protected end to end by TLS |
| Managed employer | Device telemetry, DNS and proxy logs, policy decisions | Nothing about the device is hidden from its owner |
| Destination | Exit address, account, cookies, client fingerprint | Who is behind the exit address |
Irakurri taula mehatxutik kanpora. Kafearen Wi-Fi bada kezka, lehen errenkada da aldatzen dena; hornitzailea bada kezka, zuk operadore bat beste batekin ordeztu duzu eta bigarren errenkadak orain gehiago balio du. Errenkadek ez dute lehiatzen; bakoitzak posizio desberdin bat deskribatzen du bide berberean.
Sarbide-sareak tunela ikusten du oraindik
Zure hornitzaileak edo hotel-sareak IP helbide baterako konexioa, transferitutako byteak eta haien mugimendu-orduak ikusten ditu. Ez ditu tunelaren barruko guneak ikusten, baldin eta izenen ebazpena ere tunelaren barruan badoa eta helmuga irteeraren bidez lortzen bada, ez zuzenean.
Bi ihesbide gehiagotan bizirik irauten dute jendeak espero baino. Tokiko ebazleari bidalitako DNS kontsultek oraindik guneen izenak ematen dituzte, eta TLS eskuko heltze arrunt bateko zerbitzariaren izena bidean irakurgarria da, bezeroaren agur zifratua erabiltzen ez bada. Biak ez dira bezero bat instalatuz konpontzen; biak konfigurazio-kontuak dira.
VPN operadorea, eta atzean dagoen enpresaburua
Hornitzaile komertziala zure hornitzailea zegoen leku berean dago: zure paketeak birbidaltzen ditu eta bereiz zifratuta ez dagoen guztia irakur dezake. HTTP formulario arrunt batean idatzitako pasahitza irteeran irakurgarria da, lehen jauzia zifratuta egon arren. Tunelak konfiantza mugitu zuen, ez zuen esposizioa ezabatu. Irakurri hornitzailearen erregistro-politika, trukeak zerbait hobetu duela pentsatu aurretik.
Kudeatutako laneko ordenagailu eramangarrian erakundeak dauka amaierako puntua, beraz gailu-kudeaketak, DNS erregistroek eta proxy erregistroek tunela konektatuta egon zein ez behatzen dute. VPN pertsonalak ez du kudeatutako gailua pribatu bihurtzen, eta sare askotan politikaren urraketa da, ez pribatutasun-neurria.
Zure etxeko beste gailuen trafikoa ez da enpresaburu horrentzat ikusgai, laneko ordenagailuak beren atebidea izateko asmoz jokatzen ez badu. Bereizketa hori garrantzitsua da etxebizitza batek konexio bakarra partekatzen duenean eta okerrena suposatzen duenean.
Helmuga, eta irteerako bizilagunak
Bisitatzen duzun guneak irteerako helbidea, saioa hasteko erabili zenuen kontua, cookieak eta nabigatzailearen ezaugarriak ikusten ditu. Tunelak lehen elementua soilik aldatzen du, eta saioa hastea irteerako helbidea zurekin lotzen du edonola ere.
Partekatutako zerbitzuek arrisku finagoa gehitzen dute. Hornitzaileak bezeroak elkarrengandik isolatzen ez baditu, portu batean entzuten ari den makina irteera bereko beste bezeroek lor dezakete. Ostalariaren suebakian sarrerako trafikoa lehenespenez blokeatzeak arrisku horren zati handi bat estaltzen du. Hori probatzeak bigarren gailu bat zerbitzu berberara konektatzea eta entzuten ari den portu batera iristen saiatzea esan nahi du.
Zenbait gauza ez dira inoiz aldatzen: kontu-identifikatzaileak, aplikazio-mailako jarraipena, eta telefonok berak badaki trafikoa birbidaltzen ari dela konexioa partekatzen duzunean. Tunela bideratze-erabakia da, ez nortasun-aldaketa.
Aukeratu zein behatzaileren aurrean ezkutatzen zaren produktua aukeratu aurretik. Sare lokala bada, ondo konfiguratutako irteera ia edozein lagungarria da. Hornitzailearen beraren erregistroa bada, kontratua erabakiaren parte da. Zure enpresaburua bada, inongo tunel pertsonalek ez du lan hori egingo.