Chi può vedere il tuo traffico VPN? Quattro osservatori
La rete locale, l'operatore VPN, il datore di lavoro e la destinazione vedono ciascuno una porzione diversa. Confrontali prima di fidarti di un tunnel per la privacy.
Un tunnel cambia dove il tuo traffico diventa osservabile. Non lo rende inosservabile, e la parte che guadagna visibilità è quella attraverso cui hai instradato il traffico. Se questo scambio valga la pena dipende da quale salto non ti fidi, quindi il confronto utile è tra gli osservatori e non tra le marche.
Quattro parti siedono su una connessione
Segui una richiesta dal portatile verso l'esterno e compaiono quattro posizioni: la rete di accesso a cui ti sei unito, l'uscita VPN, l'ambiente aziendale se il dispositivo è gestito e la destinazione stessa. Ognuna occupa un posto diverso nel percorso, quindi ognuna raccoglie un tipo diverso di prove. La tabella è l'intero argomento in una sola vista.
| Observer | Sees | Does not see |
|---|---|---|
| Local network and ISP | That a tunnel exists, its endpoint, volume and timing | Destinations carried inside the tunnel |
| VPN operator | Source address, destinations, unencrypted content | Content protected end to end by TLS |
| Managed employer | Device telemetry, DNS and proxy logs, policy decisions | Nothing about the device is hidden from its owner |
| Destination | Exit address, account, cookies, client fingerprint | Who is behind the exit address |
Leggi la tabella dalla minaccia verso l'esterno. Se la preoccupazione è il Wi-Fi del bar, la prima riga è ciò che cambia; se la preoccupazione è il fornitore, hai scambiato un operatore con un altro e la seconda riga ora conta di più. Le righe non competono; ognuna descrive una posizione diversa sullo stesso percorso.
La rete di accesso vede ancora il tunnel
Il tuo fornitore o la rete dell'hotel vede una connessione verso un indirizzo IP, i byte trasferiti e i momenti in cui si sono mossi. Non vede i siti dentro il tunnel, a condizione che anche la risoluzione dei nomi viaggi al suo interno e la destinazione sia raggiunta tramite l'uscita e non direttamente.
Due fughe sopravvivono più spesso di quanto le persone si aspettino. Le query DNS inviate al resolver locale nominano ancora i siti, e il nome del server in un normale handshake TLS è leggibile sul percorso a meno che non si usi il saluto del client cifrato. Nessuna delle due si risolve installando un client; entrambe sono questioni di configurazione.
L'operatore VPN, e il datore di lavoro dietro
Un fornitore commerciale sta esattamente dove stava il tuo fornitore: inoltra i tuoi pacchetti e può leggere tutto ciò che non è cifrato separatamente. Una password digitata in un semplice modulo HTTP è leggibile all'uscita anche se il primo salto era cifrato. Il tunnel ha spostato la fiducia, non ha eliminato l'esposizione. Leggi la politica di registrazione del fornitore prima di supporre che lo scambio abbia migliorato qualcosa.
Su un portatile di lavoro gestito l'organizzazione possiede l'endpoint, quindi gestione dei dispositivi, registrazione DNS e registri del proxy lo osservano che ci sia o no un tunnel connesso. Una VPN personale non rende privato un dispositivo gestito, e su molte reti è una violazione della politica più che una misura di privacy.
Il traffico di altri dispositivi in casa tua non è visibile a quel datore di lavoro, a meno che il portatile di lavoro non agisca deliberatamente come loro gateway. Questa distinzione conta quando una famiglia condivide una connessione e presume il peggio.
La destinazione, e i vicini all'uscita
Il sito che visiti vede l'indirizzo di uscita, l'account con cui hai effettuato l'accesso, i cookie e le caratteristiche del browser. Un tunnel cambia solo il primo elemento, e accedere collega comunque l'indirizzo di uscita a te.
I servizi condivisi aggiungono un rischio più sottile. Se il fornitore non isola i clienti gli uni dagli altri, una macchina in ascolto su una porta può essere raggiungibile da altri clienti sulla stessa uscita. Bloccare il traffico in ingresso per impostazione predefinita nel firewall dell'host copre la maggior parte di quel rischio. Testarlo significa collegare un secondo dispositivo allo stesso servizio e provare a raggiungere una porta in ascolto.
Alcune cose non cambiano mai: gli identificatori dell'account, il tracciamento a livello di applicazione e la consapevolezza del telefono stesso di inoltrare traffico quando condividi la connessione. Un tunnel è una decisione di instradamento, non un cambio di identità.
Scegli l'osservatore da cui ti nascondi prima di scegliere un prodotto. Se è la rete locale, quasi ogni uscita configurata correttamente aiuta. Se è la registrazione del fornitore stesso, il contratto fa parte della decisione. Se è il tuo datore di lavoro, nessun tunnel personale basterà.