まず監視者を名指しし、それからVPNが役立つか決める

VPNに関する疑問の多くは、製品から出発して理由へと逆算する。逆の順序で始めよう：制限したい監視者を名指しし、その監視者に持たれたくない情報を名指しする。この二つの答えが、トンネルが関係あるかどうか、そして他のどの制御が実際に働いているかを決める。

五つの手順があり、最初の二つは書き留める文である。

手順1：監視者を名指しする

具体的な相手とは、カフェのネットワーク運営者、プロバイダー、訪問先のサイト、雇用主、あるいは端末を所持している誰かである。漠然とした「彼ら」は監視者ではなく、考察の対象にならない。これらの相手は経路上の異なる地点にいて別のものを見るため、一つの制御ではすべてに答えられない。

監視者を名指しできないなら、要件はまだ定義されていない。

監視者は能力も異なる。カフェの運営者は一晩の通信を見られる程度で、プロバイダーは数か月にわたって相関でき、雇用主は使用中の端点を所有している。それぞれが正当化できる労力は、答えと、どの制御に手間をかける価値があるかを変える。

手順2：情報を名指しする

宛先、内容、タイミング、身元は別々のカテゴリーである。トンネルは誰が宛先を見るかを変え、サイトが見る送信元アドレスも変えうる。しかしフォームに入力する内容、ログインするアカウント、自分を追うCookieは変えない。タイミングと量のパターンは、パケットが依然として移動するため、ほとんどのトンネルを生き延びる。

この四つのカテゴリーのどれが重要かを決める。すべてを同時に守るには、VPNに含まれない制御が必要だ。

手順3：実際のやり取りを一つたどる

アプリケーションを一つ選んで追う。HTTPSでページを開くと、ローカルネットワークはホスト名へのTLS接続を見て、内容は暗号化され、サイトはあなたのアドレスとセッションが運ぶものを見る。トンネルがあれば、ローカルネットワークはVPN端点への接続を見て、運営者は宛先を見て、サイトは運営者のアドレスを見る。その図の上で、気にかける各区間に印を付ける。

一つのやり取りの図は、プライバシーについての形容詞を並べたページに勝る。

手順4：加えた信頼を数える

どのトンネルも可視性を消すのではなく移す。運営者は今や経路上にいて、DNSも暗号化しない限り宛先を見られ、TLSハンドシェイクの名前は追加の対策なしでは見えたままである。その運営者が何を記録するのか、誰が強制できるのか、その答えにどんな証拠があるのかを尋ねる。 監査報告書を公開する提供者は、スローガンを公開する者とは別の種類の主張をしている。

手順2の具体的な情報を預けてよいと考える運営者を選ぶのであって、最もよいランディングページを持つ相手ではない。

手順5：擁護できる主張を書く

完成した声明は、監視者、情報、残存リスクを名指しする：このトンネルはカフェのネットワークに私がどのサイトを訪れるかを見せず、代わりに運営者がそれを見られる。その文は検証可能であり、何が移ったかについて正直である。

すべてが私的になるとの主張は、検証もできず正しくもなく、実際に助けになる制御を隠してしまう：アカウントの衛生、ブラウザーの分離、端末の更新、そして職場では承認されたアクセス経路の使用である。