Metadati VPN: cosa può ancora vedere ogni osservatore
La cifratura nasconde il contenuto, non il fatto di una connessione. Distingui ciò che osservano la rete di accesso, l’uscita VPN, il resolver e la destinazione, e ciò che ciascuno conserva.
La cifratura nasconde ciò che hai inviato, non il fatto che tu abbia inviato qualcosa. Dimensioni, tempi e indirizzi esterni restano disponibili a soggetti in punti diversi del percorso. Ogni osservatore riceve una fetta diversa, e la questione della privacy è cosa quella fetta può sostenere. Inizia col nominare chi guarda prima di decidere cosa significa l’esposizione.
Nomina l’osservatore prima dell’affermazione
Quattro posizioni contano in un tunnel tipico: la tua rete di accesso, l’uscita dell’operatore VPN, qualsiasi resolver che riceve un nome e la destinazione stessa. Ciascuna vede una combinazione diversa di origine, destinazione, nome, dimensione e tempo. Un’affermazione generale su ciò che rivela una VPN è quasi sempre un’affermazione su una di queste posizioni.
| Observer | Usually visible | Not visible |
|---|---|---|
| Access network | VPN endpoint, volume, timing | Inner destinations |
| VPN exit | Your traffic, destination addresses | Your home address |
| Resolver | The names it resolves | Your full page content |
| Destination | Exit address, request, protocol details | Your physical location |
Tienili separati nell’analisi. Fonderli produce affermazioni che non si possono verificare. La posizione di un osservatore decide anche cosa una richiesta legale potrebbe ottenere da lui in seguito.
Contenuto e destinazione sono domande diverse
La cifratura protegge il carico utile di una connessione, e HTTPS lo protegge di nuovo nel proprio scambio. Gli indirizzi di destinazione sono però informazioni di routing, e l’uscita deve inoltrare verso di essi. I resolver DNS ricevono i nomi a cui rispondono, e la visibilità di altri nomi host dipende dal protocollo usato. Supporre che ogni intermediario veda un URL completo è sbagliato quanto supporre che nessuno veda nulla.
Gli identificatori di account, le etichette dei dispositivi e gli ID diagnostici vivono spesso in sistemi di gestione invece che nei campi dei pacchetti. Una specifica di protocollo non descrive l’analitica che la circonda. Un tunnel che nasconde gli indirizzi alla rete di accesso può ancora esporli all’uscita, quindi metadati identici hanno valore diverso in mani diverse.
Osservabile non significa conservato
Un endpoint può elaborare dati per consegnare traffico senza conservarne una cronologia. Può anche conservare diagnostica, totali aggregati o registri per account per un periodo limitato. Sono comportamenti diversi con conseguenze diverse, e la parola anonimo raramente li distingue. Un pacchetto che attraversa un server non lascia alcun registro automatico di dove è andato.
Chiedi cosa viene raccolto, se è collegato a un account, per quanto tempo è conservato e chi può leggerlo. Un totale su tutti gli utenti risponde a una domanda diversa da un registro con marca temporale legato a una sola identità. Questa distinzione è la differenza tra una politica sulla privacy e una frase di marketing.
Scrivi la risposta prima di confrontare i fornitori. Un’assicurazione verbale non è una politica di conservazione.
Poni domande specifiche sulla conservazione
Metti le domande per iscritto prima di confrontare i prodotti. Quali eventi vengono registrati, con quale granularità, per quanto tempo e sotto il controllo di chi? I dati sono aggregati, campionati o cancellati secondo un calendario? L’operatore può produrre una cronologia per account se gli viene chiesto?
Quelle risposte appartengono al verbale della decisione. Senza di esse, il confronto è una gara di slogan.
Le linee guida sulla privacy RFC 6973 sono una cornice utile per queste domande perché separano la minimizzazione dei dati dalla conservazione e dall’uso secondario. Un elenco che nomina il paese di un’uscita ti dice da dove ti connetti. Non dice nulla su ciò che quell’operatore memorizza.