O que o seu provedor de VPN pode ver e o que non
A saída ve enderezos, horarios e, salvo que se use Encrypted Client Hello, o nome do sitio no aperto de mans TLS. A retención é unha cuestión aparte.
O seu túnel mantén a rede local fóra do seu tráfico. Pero non elimina a empresa do outro extremo, que procesa cada paquete antes de que chegue a internet aberta. Ese posición é á vez o modelo de negocio e a cuestión de privacidade. Por iso a pregunta útil non é se o provedor pode vêlo, senón que ve, que pode nomear e que conserva.
Onde se move realmente a confianza
O cifrado vai do seu dispositivo ao servidor do provedor, e ese tramo exterior é todo o que a súa rede local chega a ver. O provedor ten o outro extremo do tramo, así que descifra o túnel e reenvía os seus paquetes. Nada diso é un defecto; é a definición do servizo que comprou. A confianza trasladouse do operador local ao operador da saída en lugar de desaparecer.
Desde esa posición coñece o seu enderezo de orixe, cando se conectou, aproximadamente canto transferiu e que destinos contactou. Nada diso require ler as súas mensaxes, e ese é o sentido de separar as categorías. As diferenzas interesantes entre provedores refírense ao que ocorre despois con esas observacións.
O que a saída manexa por necesidade
Ordene as categorías segundo a fiabilidade con que a saída pode velas. Ningunha das filas require romper o cifrado, e cada unha ten unha resposta distinta sobre se é evitable de todo.
| Category | Visible at the exit | Why |
|---|---|---|
| Your public address | Always | It is the address the tunnel arrives from |
| Connection times and volume | Always | Accounting data, not content |
| Destination IP addresses | Always | The exit has to route the packets |
| HTTPS hostname (SNI) | Normally, unless ECH is used | Sent in the clear in the TLS ClientHello |
| DNS names | Only if DNS is plaintext | DoH or DoT hides the query; plaintext is readable by the forwarder |
| Page paths and form contents | Not normally | Protected by the destination site's TLS session |
A cuarta fila é o que pasan por alto a maioría dos modelos mentais. Un navegador moderno pon o nome do sitio no ClientHello, a primeira mensaxe do aperto de mans TLS, e ese campo é lexible na saída mesmo cando cada consulta DNS vai cifrada de extremo a extremo. Salvo que se negocie Encrypted Client Hello, o nome viaxa en claro xunto ao enderezo de destino. O DNS cifrado cambia quen ve a consulta, non quen ve o nome.
O mesmo vale para os certificados en conexións máis antigas: TLS 1.3 cifra o certificado do servidor, mentres que un aperto de mans TLS 1.2 pode expor o nome a un observador que grava o fluxo. Ambas son feitos do transporte e non política do provedor.
O que cobre TLS e o que non
Cando un sitio serve HTTPS, o seu navegador constrúe unha conexión TLS co punto final dese sitio, non co servidor VPN. O provedor reenvía rexistros cifrados e coñece o enderezo de destino, o momento e os tamaños aproximados. O nome do sitio viaxa no ClientHello salvo que ECH estea en xogo, e o corpo da páxina segue cifrado en ambos os casos. Un certificado raíz inesperado cambia esa fronteira, e por iso os avisos de certificado merecen respecto.
O HTTP simple non ten esa protección máis alá da saída. O túnel protexe o tramo ata o provedor, e despois a petición viaxa exactamente como o faría sen VPN. ECH non o arranxa, porque protexe o nome e non o contido.
A retención é unha cuestión distinta da visibilidade
Un operador pode procesar datos de conexión en memoria e non conservar nada, ou conservar un subconxunto e describilo con precisión como non historial de navegación. Lea unha afirmación de cero rexistros por categoría e non por eslogan: rexistros de conexión, marcas de tempo, totais de volume, datos de destino, identificadores de conta e mensaxes de asistencia todos contan. Un provedor pode non levar rexistros de navegación con honestidade e á vez conservar o rexistro da conta e os metadatos necesarios para operar o servizo. A visibilidade non lle di cal desas categorías se almacena.
Unha auditoría é unha proba sobre os sistemas e a xanela temporal que cubriu, e o código de cliente aberto describe o cliente e non os servidores. Ambas as dúas cousas son útiles, e ningunha fala por cada sistema de almacenamento detrás da saída. Pida o alcance dunha auditoría, non a súa insignia.
Preguntas que separan provedores
Pregunte que se conserva, durante canto tempo e quen o pode recuperar. Pregunte quen opera a saída, porque unha ficha de directorio, un desenvolvedor de aplicacións e a persoa que xestiona un servidor concreto poden ser tres partes distintas. Pregunte como se trata o DNS e se ECH é compatible cos camiños que usa, xa que un ClientHello en texto claro nomea o sitio mesmo sen consulta DNS. Pregunte que ocorre ante unha solicitude legal, e lea a resposta como descrición de capacidade e non de intención.
A guía da EFF para escoller unha VPN é unha lista de comprobación razoable para esas preguntas, e é un marco e non un veredicto sobre ningún servizo. Unha páxina de marketing non é unha política de retención. Nada diso fai inútil unha VPN; cambia en quen ten que confiar e para que.