તમારો VPN પ્રદાતા શું જોઈ શકે છે અને શું નહીં
એગ્ઝિટ સરનામાં, સમય અને Encrypted Client Hello વપરાય ન હોય તો TLS હેન્ડશેકમાં સાઇટનું નામ જુએ છે. જાળવણી અલગ પ્રશ્ન છે.
તમારું ટનલ સ્થાનિક નેટવર્કને તમારા ટ્રાફિકની બહાર રાખે છે. પરંતુ તે બીજા છેડેની કંપનીને દૂર કરતું નથી, જે દરેક પેકેટને ખુલ્લા ઇન્ટરનેટ સુધી પહોંચતાં પહેલાં પ્રોસેસ કરે છે. એ સ્થિતિ એકસાથે વ્યવસાય મોડલ અને ગોપનીયતાનો પ્રશ્ન છે. તેથી ઉપયોગી પ્રશ્ન એ નથી કે પ્રદાતા તમને જોઈ શકે છે કે નહીં, પણ એ છે કે તે શું જુએ છે, શું નામ આપી શકે છે અને શું રાખે છે.
ભરોસો ખરેખર ક્યાં ખસે છે
એન્ક્રિપ્શન તમારા ઉપકરણથી પ્રદાતાના સર્વર સુધી ચાલે છે, અને આ બહારનો ભાગ એ જ છે જે તમારું સ્થાનિક નેટવર્ક ક્યારેય જુએ છે. પ્રદાતા આ ભાગનો બીજો છેડો ધરાવે છે, તેથી તે ટનલ ડિક્રિપ્ટ કરે છે અને તમારા પેકેટ આગળ મોકલે છે. તેમાં કોઈ ખામી નથી; તે તમે ખરીદેલી સેવાની વ્યાખ્યા છે. ભરોસો સ્થાનિક ઓપરેટરથી એગ્ઝિટના ઓપરેટર તરફ ખસ્યો, અદૃશ્ય થયો નહીં.
આ સ્થિતિથી તે તમારું સ્રોત સરનામું, તમે ક્યારે જોડાયા, આશરે કેટલું સ્થાનાંતરિત કર્યું અને કયા ગંતવ્યોનો સંપર્ક કર્યો તે જાણે છે. એમાંથી કંઈપણ તમારા સંદેશા વાંચવાની જરૂર માંગતું નથી, અને શ્રેણીઓને અલગ કરવાનો અર્થ એ જ છે. પ્રદાતાઓ વચ્ચેના રસપ્રદ તફાવતો એની સાથે સંબંધિત છે કે પછી એ નિરીક્ષણોનું શું થાય છે.
એગ્ઝિટ અનિવાર્યપણે શું સંભાળે છે
એગ્ઝિટ કેટલી વિશ્વસનીયતાથી શ્રેણીઓ જોઈ શકે તે પ્રમાણે ગોઠવો. કોઈ પણ પંક્તિ એન્ક્રિપ્શન તોડવાની જરૂર માંગતી નથી, અને દરેકનો અલગ જવાબ છે કે તે બિલકુલ ટાળી શકાય છે કે નહીં.
| Category | Visible at the exit | Why |
|---|---|---|
| Your public address | Always | It is the address the tunnel arrives from |
| Connection times and volume | Always | Accounting data, not content |
| Destination IP addresses | Always | The exit has to route the packets |
| HTTPS hostname (SNI) | Normally, unless ECH is used | Sent in the clear in the TLS ClientHello |
| DNS names | Only if DNS is plaintext | DoH or DoT hides the query; plaintext is readable by the forwarder |
| Page paths and form contents | Not normally | Protected by the destination site's TLS session |
ચોથી પંક્તિ એ છે જે મોટાભાગના માનસિક મોડલ ચૂકી જાય છે. આધુનિક બ્રાઉઝર સાઇટનું નામ ClientHello માં મૂકે છે, જે TLS હેન્ડશેકનો પ્રથમ સંદેશ છે, અને દરેક DNS પ્રશ્ન શરૂઆતથી અંત સુધી એન્ક્રિપ્ટેડ હોય તો પણ એ ક્ષેત્ર એગ્ઝિટ પર વાંચી શકાય છે. Encrypted Client Hello પર સંમતિ ન થાય તો નામ ગંતવ્ય સરનામાની બાજુમાં ખુલ્લું મુસાફરી કરે છે. એન્ક્રિપ્ટેડ DNS બદલે છે કે પ્રશ્ન કોણ જુએ છે, નામ કોણ જુએ છે તે નહીં.
જૂના કનેક્શન પરના પ્રમાણપત્રો માટે પણ એ જ સાચું છે: TLS 1.3 સર્વર પ્રમાણપત્રને એન્ક્રિપ્ટ કરે છે, જ્યારે TLS 1.2 હેન્ડશેક નામને સ્ટ્રીમ રેકોર્ડ કરતા નિરીક્ષકને ખુલ્લું કરી શકે છે. બંને પરિવહનની હકીકતો છે, પ્રદાતાની નીતિ નહીં.
TLS શું આવરે છે અને શું નહીં
જ્યારે સાઇટ HTTPS આપે છે, ત્યારે તમારું બ્રાઉઝર એ સાઇટના અંતિમ બિંદુ સાથે TLS કનેક્શન બનાવે છે, VPN સર્વર સાથે નહીં. પ્રદાતા એન્ક્રિપ્ટેડ રેકોર્ડ આગળ મોકલે છે અને ગંતવ્ય સરનામું, સમય અને અંદાજિત માપ જાણે છે. ECH કાર્યરત ન હોય તો સાઇટનું નામ ClientHello માં જાય છે, અને પૃષ્ઠનું શરીર બંને કિસ્સામાં એન્ક્રિપ્ટેડ રહે છે. અણધાર્યું રૂટ પ્રમાણપત્ર એ સીમા બદલે છે, તેથી પ્રમાણપત્ર ચેતવણીઓ આદરને પાત્ર છે.
સાદા HTTP પાસે એગ્ઝિટ પછી એવી કોઈ સુરક્ષા નથી. ટનલ પ્રદાતા સુધીનો ભાગ સુરક્ષિત કરે છે, અને પછી વિનંતી બરાબર એ જ રીતે મુસાફરી કરે છે જેમ VPN વિના કરત. ECH એ સુધારતું નથી, કારણ કે તે નામ સુરક્ષિત કરે છે, સામગ્રી નહીં.
જાળવણી દૃશ્યતાથી અલગ પ્રશ્ન છે
ઓપરેટર મેમરીમાં કનેક્શન ડેટા પ્રોસેસ કરીને કંઈ રાખી શકે નહીં, અથવા એક ઉપગણ રાખીને તેને ચોકસાઈથી બ્રાઉઝિંગ ઇતિહાસ ન હોવાનું વર્ણવી શકે. નો-લોગ દાવો સ્લોગન પ્રમાણે નહીં, શ્રેણી પ્રમાણે વાંચો: કનેક્શન રેકોર્ડ, સમયછાપ, કુલ વોલ્યુમ, ગંતવ્ય ડેટા, ખાતા ઓળખકર્તા અને સહાય સંદેશા—બધા ગણાય છે. પ્રદાતા પ્રામાણિકપણે કોઈ બ્રાઉઝિંગ લોગ રાખ્યા વિના ખાતાનો રેકોર્ડ અને સેવા ચલાવવા માટે જરૂરી મેટાડેટા રાખી શકે છે. દૃશ્યતા તમને કહેતી નથી કે એ શ્રેણીઓમાંથી કઈ સંગ્રહિત છે.
ઓડિટ એ સિસ્ટમો અને તેણે આવરેલા સમયગાળા વિશેનો પુરાવો છે, અને ઓપન-સોર્સ ક્લાયન્ટ કોડ ક્લાયન્ટનું વર્ણન કરે છે, સર્વરનું નહીં. બંને ઉપયોગી છે, અને કોઈ પણ એગ્ઝિટ પાછળની દરેક સ્ટોરેજ સિસ્ટમ વતી બોલતું નથી. ઓડિટનું બેજ નહીં, તેનો વ્યાપ માંગો.
પ્રદાતાઓને અલગ પાડતા પ્રશ્નો
પૂછો કે શું રાખવામાં આવે છે, કેટલા સમય અને કોણ તે મેળવી શકે છે. પૂછો કે એગ્ઝિટ કોણ ચલાવે છે, કારણ કે ડિરેક્ટરી સૂચિ, એપ ડેવલપર અને ચોક્કસ સર્વર ચલાવતી વ્યક્તિ ત્રણ અલગ પક્ષો હોઈ શકે છે. પૂછો કે DNS કેવી રીતે સંભાળાય છે અને તમે વાપરો છો તે માર્ગો પર ECH સમર્થિત છે કે નહીં, કારણ કે સાદા ટેક્સ્ટનું ClientHello DNS પ્રશ્ન વિના પણ સાઇટનું નામ કહે છે. પૂછો કે કાનૂની વિનંતી પર શું થાય છે, અને જવાબને ઇરાદાના નહીં, ક્ષમતાના વર્ણન તરીકે વાંચો.
EFFની VPN પસંદ કરવાની માર્ગદર્શિકા એ પ્રશ્નો માટે વાજબી ચેકલિસ્ટ છે, અને તે કોઈ સેવા વિશેનો ચુકાદો નહીં, એક માળખું છે. માર્કેટિંગ પૃષ્ઠ જાળવણી નીતિ નથી. આમાંથી કંઈપણ VPNને નકામું બનાવતું નથી; તે બદલે છે કે તમારે કોના પર ભરોસો રાખવો છે અને શેના માટે.