Ko može vidjeti vaš VPN saobraćaj? Četiri posmatrača
Lokalna mreža, VPN operater, poslodavac i odredište svaki vide drugačiji dio. Uporedite ih prije nego što povjerujete tunelu u pogledu privatnosti.
Tunel mijenja mjesto na kojem vaš saobraćaj postaje vidljiv. Ne čini ga nevidljivim, a strana koja dobija vidljivost je ona kroz koju ste usmjerili saobraćaj. Da li se ta razmjena isplati zavisi od toga kojoj dionici ne vjerujete, pa je korisno poređenje između posmatrača, a ne između brendova.
Četiri strane sjede na jednoj vezi
Pratite zahtjev od laptopa prema van i pojavljuju se četiri položaja: pristupna mreža kojoj ste se pridružili, VPN izlaz, korporativno okruženje ako je uređaj pod upravljanjem, i samo odredište. Svaki zauzima drugo mjesto na putu, pa svaki prikuplja drugu vrstu dokaza. Tabela je cijeli argument u jednom pogledu.
| Observer | Sees | Does not see |
|---|---|---|
| Local network and ISP | That a tunnel exists, its endpoint, volume and timing | Destinations carried inside the tunnel |
| VPN operator | Source address, destinations, unencrypted content | Content protected end to end by TLS |
| Managed employer | Device telemetry, DNS and proxy logs, policy decisions | Nothing about the device is hidden from its owner |
| Destination | Exit address, account, cookies, client fingerprint | Who is behind the exit address |
Čitajte tabelu od prijetnje prema van. Ako je briga kafić Wi-Fi, prvi red je ono što se mijenja; ako je briga provajder, vi ste zamijenili jednog operatera drugim i drugi red sada postaje važniji. Redovi se ne takmiče; svaki opisuje drugi položaj na istom putu.
Pristupna mreža i dalje vidi tunel
Vaš provajder ili hotelska mreža vidi vezu prema IP adresi, prenesene bajtove i vremena kada su se kretali. Ne vidi sajtove unutar tunela, pod uslovom da i razrješavanje imena putuje unutar njega i da se odredište dostiže kroz izlaz, a ne direktno.
Dva curenja preživljavaju češće nego što ljudi očekuju. DNS upiti poslani lokalnom razrješivaču i dalje imenuju sajtove, a ime servera u običnom TLS rukovanju je čitljivo na putu osim ako se koristi šifrovani pozdrav klijenta. Ni jedno se ne rješava instaliranjem klijenta; oba su pitanja konfiguracije.
VPN operater i poslodavac iza njega
Komercijalni provajder stoji tačno tamo gdje je stajao vaš provajder: prosljeđuje vaše pakete i može čitati sve što nije posebno šifrovano. Lozinka otkucana u običnu HTTP formu čitljiva je na izlazu iako je prva dionica bila šifrovana. Tunel je premjestio povjerenje, nije uklonio izloženost. Pročitajte politiku evidentiranja provajdera prije nego što pretpostavite da je razmjena nešto poboljšala.
Na poslovnom laptopu pod upravljanjem organizacija posjeduje krajnju tačku, pa upravljanje uređajem, DNS evidentiranje i proxy zapisi posmatraju ga bez obzira na to je li tunel povezan. Lični VPN ne čini upravljani uređaj privatnim, a na mnogim mrežama to je kršenje politike, a ne mjera privatnosti.
Saobraćaj drugih uređaja u vašem domu nije vidljiv tom poslodavcu osim ako poslovni laptop namjerno djeluje kao njihov prolaz. Ta razlika je važna kada domaćinstvo dijeli jednu vezu i pretpostavlja najgore.
Odredište i susjedi na izlazu
Sajt koji posjetite vidi izlaznu adresu, račun s kojim ste se prijavili, kolačiće i karakteristike preglednika. Tunel mijenja samo prvu stavku, a prijava i dalje veže izlaznu adresu za vas.
Dijeljeni servisi dodaju suptilniji rizik. Ako provajder ne izoluje korisnike jedne od drugih, mašina koja sluša na portu može biti dostupna drugim korisnicima na istom izlazu. Blokiranje dolaznog saobraćaja po defaultu na firewallu hosta pokriva većinu tog rizika. Testiranje znači povezivanje drugog uređaja na isti servis i pokušaj dosezanja porta koji sluša.
Neke stvari se nikada ne mijenjaju: identifikatori računa, praćenje na nivou aplikacije i saznanje samog telefona da prosljeđuje saobraćaj kada ga koristite kao modem. Tunel je odluka o rutiranju, a ne promjena identiteta.
Odaberite posmatrača od kojeg se skrivate prije nego što odaberete proizvod. Ako je to lokalna mreža, gotovo svaki ispravno konfigurisan izlaz pomaže. Ako je to provajderovo evidentiranje, ugovor je dio odluke. Ako je to vaš poslodavac, nijedan lični tunel to neće obaviti.