Métadonnées VPN : ce que chaque observateur peut encore voir

Le chiffrement masque ce que vous avez envoyé, pas le fait que vous avez envoyé quelque chose. Les tailles, le moment et les adresses externes restent disponibles pour des parties situées à différents points du chemin. Chaque observateur reçoit une tranche différente, et la question de confidentialité est ce que cette tranche peut étayer. Commencez par nommer qui regarde avant de décider ce que signifie l’exposition.

Nommez l’observateur avant l’affirmation

Quatre positions comptent dans un tunnel typique : votre réseau d’accès, la sortie de l’opérateur VPN, tout résolveur qui reçoit un nom et la destination elle-même. Chacune voit une combinaison différente de source, destination, nom, taille et temps. Une affirmation générale sur ce que révèle un VPN est presque toujours une affirmation sur l’une de ces positions.

Gardez-les séparées dans l’analyse. Les fusionner produit des affirmations qui ne peuvent pas être testées. La position d’un observateur décide aussi de ce qu’une demande légale pourrait obtenir de lui plus tard.

Contenu et destination sont des questions différentes

Le chiffrement protège la charge utile d’une connexion, et HTTPS la protège à nouveau dans son propre échange. Les adresses de destination sont toutefois des informations de routage, et la sortie doit y acheminer. Les résolveurs DNS reçoivent les noms auxquels ils répondent, et la visibilité d’autres noms d’hôte dépend du protocole utilisé. Supposer que chaque intermédiaire voit une URL complète est aussi faux que supposer que personne ne voit rien.

Les identifiants de compte, les étiquettes d’appareil et les ID de diagnostic vivent souvent dans des systèmes de gestion plutôt que dans des champs de paquet. Une spécification de protocole ne décrit pas l’analytique qui l’entoure. Un tunnel qui cache des adresses au réseau d’accès peut encore les exposer à la sortie, donc des métadonnées identiques ont une valeur différente selon les mains.

Observable ne veut pas dire conservé

Un point de terminaison peut traiter des données pour livrer du trafic sans en tenir un historique. Il peut aussi conserver des diagnostics, des totaux agrégés ou des enregistrements par compte pendant une période limitée. Ce sont des comportements différents aux conséquences différentes, et le mot anonyme les distingue rarement. Un paquet qui traverse un serveur ne laisse aucune trace automatique de sa destination.

Demandez ce qui est collecté, si c’est associé à un compte, combien de temps c’est conservé et qui peut le lire. Un total sur tous les utilisateurs répond à une question différente d’un enregistrement horodaté lié à une identité. Cette distinction est la différence entre une politique de confidentialité et une phrase marketing.

Écrivez la réponse avant de comparer des fournisseurs. Une assurance verbale n’est pas une politique de conservation.

Posez des questions précises sur la conservation

Mettez les questions par écrit avant de comparer des produits. Quels événements sont journalisés, avec quelle granularité, pendant combien de temps et sous le contrôle de qui ? Les données sont-elles agrégées, échantillonnées ou supprimées selon un calendrier ? L’opérateur peut-il produire un historique par compte si on le lui demande ?

Ces réponses appartiennent au dossier de décision. Sans elles, la comparaison est un concours de slogans.

Les recommandations de confidentialité RFC 6973 constituent un cadre utile pour ces questions parce qu’elles séparent la minimisation des données de la conservation et de l’usage secondaire. Une fiche qui nomme le pays d’une sortie vous dit d’où vous vous connectez. Elle ne dit rien sur ce que cet opérateur stocke.