Ով կարող է տեսնել ձեր VPN թրաֆիկը. չորս դիտորդ
Տեղական ցանցը, VPN օպերատորը, գործատուն և նպատակակետը յուրաքանչյուրը տեսնում է տարբեր կտոր։ Համեմատե՛ք նրանց, նախքան թունելին գաղտնիության հարցում վստահելը։
Թունելը փոխում է, թե որտեղ է ձեր թրաֆիկը դառնում դիտելի։ Այն չի դարձնում այն անդիտելի, և այն կողմը, որը ձեռք է բերում տեսանելիություն, հենց այն է, որի միջով դուք ուղղորդել եք թրաֆիկը։ Արդյոք այդ փոխանակումը արժե, կախված է նրանից, թե որ թռիչքին չեք վստահում, ուստի օգտակար համեմատությունը դիտորդների միջև է, ոչ թե ապրանքանիշերի։
Չորս կողմ նստում են մեկ կապի վրա
Հետևե՛ք հարցումին նոթբուքից դուրս և հայտնվում են չորս դիրքեր՝ այն մուտքի ցանցը, որին միացել եք, VPN ելքը, կորպորատիվ միջավայրը, եթե սարքը կառավարվում է, և ինքը նպատակակետը։ Յուրաքանչյուրը զբաղեցնում է տարբեր տեղ ուղու վրա, ուստի յուրաքանչյուրը հավաքում է տարբեր տեսակի ապացույց։ Աղյուսակը ամբողջ փաստարկն է մեկ հայացքում։
| Observer | Sees | Does not see |
|---|---|---|
| Local network and ISP | That a tunnel exists, its endpoint, volume and timing | Destinations carried inside the tunnel |
| VPN operator | Source address, destinations, unencrypted content | Content protected end to end by TLS |
| Managed employer | Device telemetry, DNS and proxy logs, policy decisions | Nothing about the device is hidden from its owner |
| Destination | Exit address, account, cookies, client fingerprint | Who is behind the exit address |
Կարդացե՛ք աղյուսակը սպառնալիքից դուրս։ Եթե սրճարանի Wi-Fi-ն է մտահոգությունը, փոխվում է առաջին տողը, իսկ եթե մատակարարն է մտահոգությունը, դուք փոխարինել եք մեկ օպերատորի մյուսով և երկրորդ տողն այժմ ավելի կարևոր է։ Տողերը չեն մրցում, յուրաքանչյուրը նկարագրում է տարբեր դիրք նույն ուղու վրա։
Մուտքի ցանցը դեռ տեսնում է թունելը
Ձեր մատակարարը կամ հյուրանոցի ցանցը տեսնում է կապ դեպի IP հասցե, փոխանցված բայթերը և դրանց շարժման ժամերը։ Այն չի տեսնում թունելի ներսում գտնվող կայքերը, պայմանով, որ անունների լուծումը նույնպես ճամփորդում է թունելի ներսում, և նպատակակետին հասնում են ելքի միջով, ոչ ուղղակիորեն։
Երկու արտահոսք գոյատևում են ավելի հաճախ, քան մարդիկ սպասում են։ Տեղական լուծիչին ուղարկված DNS հարցումները դեռ նշում են կայքերը, և սովորական TLS ձեռքսեղմման մեջ սերվերի անունը ընթեռնելի է ուղու վրա, եթե չի օգտագործվում գաղտնագրված հաճախորդի ողջույն։ Ոչ մեկը չի շտկվում հաճախորդ տեղադրելով. երկուսն էլ կարգավորման հարցեր են։
VPN օպերատորը, և գործատուն նրա հետևում
Առևտրային մատակարարը կանգնած է հենց այնտեղ, որտեղ կանգնած էր ձեր մատակարարը. այն փոխանցում է ձեր փաթեթները և կարող է կարդալ այն ամենը, ինչը առանձին գաղտնագրված չէ։ Պարզ HTTP ձևում մուտքագրված գաղտնաբառը ընթեռնելի է ելքի մոտ, թեև առաջին թռիչքը գաղտնագրված էր։ Թունելը տեղափոխեց վստահությունը, այն չջնջեց ազդեցությունը։ Կարդացե՛ք մատակարարի գրանցման քաղաքականությունը, նախքան ենթադրելը, որ փոխանակումը ինչ-որ բան բարելավել է։
Կառավարվող աշխատանքային նոթբուքի վրա վերջնակետը պատկանում է կազմակերպությանը, ուստի սարքի կառավարումը, DNS գրանցումը և պրոքսի գրառումները դիտում են այն՝ անկախ նրանից, միացված է թունել, թե ոչ։ Անձնական VPN-ը կառավարվող սարքը մասնավոր չի դարձնում, և շատ ցանցերում դա գաղտնիության միջոց չէ, այլ քաղաքականության խախտում։
Ձեր տան այլ սարքերի թրաֆիկը տեսանելի չէ այդ գործատուին, եթե աշխատանքային նոթբուքը դիտավորյալ չի հանդես գալիս որպես նրանց դարպաս։ Այդ տարբերությունը կարևոր է, երբ ընտանիքը կիսում է մեկ կապ և ենթադրում է ամենավատը։
Նպատակակետը, և հարևանները ելքի մոտ
Կայքը, որը այցելում եք, տեսնում է ելքի հասցեն, այն հաշիվը, որով մուտք եք գործել, քուքիները և զննարկիչի հատկանիշները։ Թունելը փոխում է միայն առաջին կետը, և մուտքը ամեն դեպքում կապում է ելքի հասցեն ձեզ հետ։
Համատեղ ծառայությունները ավելացնում են ավելի նուրբ ռիսկ։ Եթե մատակարարը հաճախորդներին միմյանցից չի մեկուսացնում, պորտի վրա լսող մեքենան կարող է հասանելի լինել նույն ելքի այլ հաճախորդներին։ Ներգնա թրաֆիկը հոսթի firewall-ում լռելյայն արգելափակելը ծածկում է այդ ռիսկի մեծ մասը։ Փորձարկելը նշանակում է երկրորդ սարք միացնել նույն ծառայությանը և փորձել հասնել լսող պորտին։
Որոշ բաներ երբեք չեն փոխվում. հաշվի նույնացուցիչները, հավելվածի մակարդակի հետևումը, և հեռախոսի սեփական իմացությունը, որ այն փոխանցում է թրաֆիկը, երբ կիսում եք կապը։ Թունելը երթուղային որոշում է, ոչ ինքնության փոփոխություն։
Ընտրե՛ք այն դիտորդին, որից թաքնվում եք, նախքան ապրանք ընտրելը։ Եթե դա տեղական ցանցն է, գրեթե ցանկացած ճիշտ կարգավորված ելք օգնում է։ Եթե դա մատակարարի սեփական գրանցումն է, պայմանագիրը որոշման մաս է։ Եթե դա ձեր գործատուն է, ոչ մի անձնական թունել չի անի աշխատանքը։