Wat jo VPN-provider sjen kin en wat net
De útgong sjocht adressen, tiden en, as Encrypted Client Hello net brûkt wurdt, de sidenamme yn 'e TLS-hânskieding. Bewarjen is in aparte fraach.
Jo tunnel hâldt it lokale netwurk bûten jo ferkear. Mar hy ferwideret net it bedriuw oan 'e oare kant, dat elk pakket ferwurket foardat it it iepen ynternet berikt. Dy posysje is tagelyk it saakmodel en de privacy-fraach. De nuttige fraach is dêrom net oft de provider jo sjen kin, mar wat hy sjocht, wat hy beneame kin en wat hy bewarret.
Wêr't it fertrouwen echt ferpleatst
De fersifering rint fan jo apparaat nei de server fan de provider, en dat bûtenste part is alles wat jo lokale netwurk ea sjocht. De provider hâldt it oare ein fan it part, dat hy ûntsiferet de tunnel en stjoert jo pakketten fierder. Dêr is neat mis mei; it is de definysje fan 'e tsjinst dy't jo kocht hawwe. It fertrouwen ferpleatste fan 'e lokale operator nei de operator fan 'e útgong ynstee fan te ferdwinen.
Fan dy posysje leart hy jo boarne-adres, wannear't jo ferbûn binne, likernôch hoefolle't jo oerbrocht hawwe en hokker bestimmingen't jo benadere hawwe. Nimmen fan dy dingen freget om jo berjochten te lêzen, en dat is it punt fan it skieden fan kategoryen. De nijsgjirrige ferskillen tusken providers geane oer wat der letter mei dy observaasjes bart.
Wat de útgong needsaaklikerwiis ferwurket
Sortearje de kategoryen neffens hoe betrouber't de útgong se sjen kin. Gjin fan 'e rigen freget om fersifering te brekken, en elk hat in oar antwurd op 'e fraach oft it hielendal te mijen is.
| Category | Visible at the exit | Why |
|---|---|---|
| Your public address | Always | It is the address the tunnel arrives from |
| Connection times and volume | Always | Accounting data, not content |
| Destination IP addresses | Always | The exit has to route the packets |
| HTTPS hostname (SNI) | Normally, unless ECH is used | Sent in the clear in the TLS ClientHello |
| DNS names | Only if DNS is plaintext | DoH or DoT hides the query; plaintext is readable by the forwarder |
| Page paths and form contents | Not normally | Protected by the destination site's TLS session |
De fjirde rige is wat de measte tinkmodellen misse. In moderne browser set de sidenamme yn 'e ClientHello, it earste berjocht fan 'e TLS-hânskieding, en dat fjild is lêsber by de útgong sels as elk DNS-fraach fan ein oant ein fersifere is. As Encrypted Client Hello net ûnderhannele wurdt, reizget de namme iepen njonken it bestimmingsadres. Fersifere DNS feroaret wa't it fraach sjocht, net wa't de namme sjocht.
Itselde jildt foar sertifikaten by âldere ferbiningen: TLS 1.3 fersiferet it serversertifikaat, wylst in TLS 1.2-hânskieding de namme bleatstelle kin foar in waarnimmer dy't de stream opnimt. Beide binne feiten fan it ferfier en net belied fan 'e provider.
Wat TLS dekt en wat net
As in side HTTPS leveret, bout jo browser in TLS-ferbining nei it einpunt fan dy side, net nei de VPN-server. De provider stjoert fersifere records troch en leart it bestimmingsadres, de tiid en de likernôchige grutten. De sidenamme reizget yn 'e ClientHello as ECH net yn it spul is, en it lichem fan 'e side bliuwt yn beide gefallen fersifere. In ûnferwachts woartelsertifikaat feroaret dy grins, dêrom fertsjinje sertifikaat-warskôgingen respekt.
Gewoan HTTP hat gjin sokke beskerming foarby de útgong. De tunnel beskermet it part nei de provider, en dêrnei reizget it fersyk krekt sa't it sûnder VPN dien hie. ECH reparearret dat net, want it beskermet de namme en net de ynhâld.
Bewarjen is in oare fraach as sichtberens
In operator kin ferbiningsgegevens yn it ûnthâld ferwurkje en neat bewarje, of in subset bewarje en dy sekuer beskriuwe as gjin browser-skiednis. Lês in no-logs-bewearing by kategory ynstee fan by slogan: ferbiningsrecords, tiidstimpels, folume-totalen, bestimmingsgegevens, akkount-identifikators en stipeberjochten telle allegear. In provider kin earlik gjin browser-logs hâlde en tagelyk it akkountrecord en de metadata bewarje dy't nedich binne om de tsjinst te draaien. Sichtberens fertelt jo net hokker fan dy kategoryen bewarre wurdt.
In audit is bewiis oer de systemen en it tiidfinster dat it dekte, en iepen-boarne klantkoade beskriuwt de klant en net de servers. Beide binne nuttich, en gjin fan beide sprekt foar elk opslachsysteem efter de útgong. Freegje om 'e omfang fan in audit, net om syn badge.
Fragen dy't providers skiede
Freegje wat bewarre wurdt, hoe lang en wa't it helje kin. Freegje wa't de útgong driuwt, want in katalogusynskriuwing, in app-ûntwikkelder en de persoan dy't in bepaald server draait, kinne trije ferskillende partijen wêze. Freegje hoe't DNS behannele wurdt en oft ECH stipe wurdt op 'e paden dy't jo brûke, want in ClientHello yn iepen tekst neamt de side sels sûnder DNS-fraach. Freegje wat der bart by in juridysk fersyk, en lês it antwurd as in beskriuwing fan fermogen en net fan yntinsje.
De gids fan 'e EFF foar it kiezen fan in VPN is in ridlike kontrôlelijst foar dy fragen, en it is in ramt en net in oardiel oer hokker tsjinst dan ek. In marketing-side is gjin bewarjenbelied. Neat hjirfan makket in VPN nutteloas; it feroaret wa't jo fertrouwe moatte, en wêrom.