VPNメタデータ：各観測者は依然として何を見えるのか

暗号化が隠すのは、あなたが何を送ったかであって、何かを送ったという事実ではない。サイズ、タイミング、外側のアドレスは、経路上の異なる地点にいる当事者にとって利用可能なままである。観測者ごとに得られる断片は異なり、プライバシーの問いはその断片が何を裏づけられるかにある。露出が何を意味するかを決める前に、誰が見ているのかを名指しすることから始めよう。

主張の前に観測者を名指しする

典型的なトンネルでは四つの位置、すなわちあなたのアクセス網、VPN事業者の出口、名前を受け取るあらゆるリゾルバ、そして宛先そのものが重要になる。それぞれが送信元、宛先、名前、サイズ、時間の異なる組み合わせを見る。VPNが何を明かすかについての一般的な主張は、ほぼ常にこれらの位置のどれかについての主張である。

分析ではそれらを分けて扱う。混ぜ合わせると検証できない主張が生まれる。観測者の位置は、後に法的要請がそこから何を得られるかも決める。

内容と宛先は別の問いである

暗号化は接続のペイロードを守り、HTTPSはそれ自身のやり取りでさらに守る。しかし宛先アドレスは経路情報であり、出口はそこへ転送しなければならない。DNSリゾルバは応答する名前を受け取り、他のホスト名の可視性は使用するプロトコルに依存する。すべての中間者が完全なURLを見ていると仮定するのは、誰も何も見ていないと仮定するのと同じくらい誤りである。

アカウント識別子、端末ラベル、診断IDは、パケットのフィールドではなく管理システムに置かれることが多い。プロトコル仕様はその周辺の分析までは記述しない。アクセス網からアドレスを隠すトンネルでも出口にはそれらを晒しうるため、同一のメタデータでも誰の手にあるかで価値が変わる。

観測可能は保持されていることを意味しない

端点は、履歴を残さずにトラフィックを届けるためにデータを処理できる。限られた期間だけ診断情報、集計値、アカウント別の記録を保持することもある。これらは結果の異なる別々の振る舞いであり、匿名という言葉が両者を区別することはほとんどない。サーバーを通過するパケットは、どこへ向かったかの自動的な記録を残さない。

何が収集され、アカウントと結びつけられるか、どれだけ保持され、誰が読めるのかを尋ねる。全利用者の合計は、一つの身元に結びついた時刻付き記録とは別の問いに答える。その区別こそ、プライバシーポリシーと宣伝文句の違いである。

提供者を比較する前に答えを書き留める。口頭の保証は保持方針ではない。

保持について具体的に尋ねる

製品を比較する前に質問を文書にする。どの事象が、どの粒度で、どれだけの期間、誰の管理下で記録されるのか。データは集約され、抽出され、あるいは日程に従って削除されるのか。求められれば事業者はアカウント別の履歴を作れるのか。

それらの答えは決定記録に属する。それがなければ、比較はスローガン競争である。

RFC 6973のプライバシー指針は、データ最小化を保持や二次利用から切り分けるため、これらの問いにとって有用な枠組みである。出口の国を記す一覧は、どこから接続するかを教える。それはその事業者が何を保存するかについては何も語らない。