VPNが隠すもの、隠さないもの
VPNは接続先をアクセスネットワークから隠し、出口IPを差し替える。しかしアカウント、Cookie、端末の状態、事業者が見るものまでは隠さない。
VPNを使えば匿名になれるという主張は、半分は本当で人々が頼っているのは嘘の半分だから、消費者プライバシーで最も高くつく神話である。トンネルは、自分がいるネットワークから接続先を確かに隠し、訪問するサイトから自宅のアドレスを隠す。だがサインインしたときに誰なのか、ブラウザが何を携えているのか、VPN事業者が何を観察できるのかは隠さない。有用な問いは、VPNが自分を隠すかどうかではなく、どの観察者から、どの通信について隠すのかである。
神話：トンネルは匿名のスイッチ
VPNは端末とVPNサーバーの間の経路を暗号化し、そのうえで要求をサーバーのアドレスから転送する。その経路を通るものはすべて、Wi-Fi事業者とトンネルの手前のISPから隠される。これは実際の変化であり、だからホテルのネットワークは、あなたがどのサイトを開くのかもう見えない。これは匿名ではなく、トンネルは観察点を消すのではなく移すだけだからだ。
この訂正は実務で意味を持つ。VPN経由で仕事のアカウントにサインインすれば、サイトは依然としてそのアカウントを知っている。ブラウザが広告ネットワークのCookieを保持していれば、トンネルはそれを消さない。クライアントがローカル通信を除外する設定なら、その通信はトンネルに入らない。接続済みの鍵アイコンが示すのはトンネルであり、あなたが明かしたものの合計ではない。
アクセスネットワークが失うもの、保つもの
アクセスネットワーク、つまりVPNサーバーまでの接続を運ぶWi-Fi事業者やISPは、VPN接続が存在すること自体は今も見える。エンドポイントのアドレス、接続した時刻、セッションの長さ、およその通信量を記録できる。この形の通信解析は内容が読めなくても有益になり得るからこそ、暗号化と不可視は別の主張なのだ。
それは、キャプティブポータルのログイン、部屋番号、アクセスへの支払いなど、あなたが直接伝えたことも保持する。さらにクライアントやシステムのリゾルバーがトンネルの外へ問い合わせを送れば、DNSも見える可能性がある。この漏れはスプリットトンネルの設定や、ルーターや通信事業者のDNSサーバーを保持する端末でよく起きる。接続中に使われているリゾルバーを確認し、出口アドレスだけを見てはいけない。
| Observer | Still sees | Hidden by the tunnel |
|---|---|---|
| Access network | VPN endpoint, timing, volume, portal login | Destination hostnames and content |
| Website | Exit address, account, cookies, fingerprint | Your ordinary public address |
| VPN operator | Destination IP, often the hostname, DNS if used | HTTPS content, unless it intercepts TLS |
| Device | History, app data, permissions, screen | Nothing |
ウェブサイトがなお認識するもの
トンネルを使う接続では、サイトが見るのはVPNサーバーの出口アドレスであり、自宅のアドレスではない。IPレベルでの変化はそれだけで、アドレス以外に見えるものは変わらない。サインインするアカウント、以前に設定されたCookie、提示するブラウザとOS、そして要求の時刻である。すでにあなたを知っているサイトは、送信元アドレスが変わったからといって他人にはならない。
位置情報には独自の行が必要だ。ブラウザに位置を尋ねるサイトが得る答えは、VPNではなくブラウザの許可によって制御される。スマートフォンのGPSはトンネルとは独立している。だから地図がまだあなたの街を示しているのに、アドレスが別の国にジオロケーションされるのは、二つの異なる位置チャネルが食い違っているだけで、VPNの不具合ではない。
フィンガープリントがもう半分だ。画面の大きさ、フォント、タイムゾーン、言語、canvasの出力は、アドレスが何千人もの他の利用者と共有されていてもブラウザを区別できる。VPNはそのプロファイルの入力を一つ変えるだけで、残りはそのままにする。
事業者が見られるもの
事業者はあなたのトンネルを終端し、要求を転送するので、以前にISPが座っていた場所に座る。宛先アドレスは見え、暗号化されたクライアントハローがなければ要求するホスト名も見え、利用者がそのリゾルバーを使えばDNS問い合わせも見え、通信量と時刻も見える。端末が信頼する証明書で傍受しない限りHTTPSセッションの内容は読めないが、それは別の、より騒がしい攻撃だ。
可視性は保存ではない。事業者が技術的に要求を観察できても記録しないこともあるし、内容を捨てて接続のメタデータだけを記録することもある。正直な問いは、事業者の方針と法域が何の保存を求めるかであり、ログなしのバッジはそれに答えない。事業者は、あなたが自分のメタデータを預けると選んだ相手として扱うべきだ。
端末が保持するもの、トンネルの有無にかかわらず
トンネルの何かが端末の内側に届くことはない。閲覧履歴はブラウザに残り、ダウンロードはファイルシステムに残り、マイクや画面へのアクセスを持つアプリはそのアクセスを保つ。端末上の監視ソフトは暗号化の前や復号の後にデータを読めるので、VPNは侵害された端点に対する防御にはならない。
同じことがアカウントにも当てはまる。端末からコピーしたセッションCookieはどのアドレスからでも機能し、サイト間で使い回したパスワードは、どのトンネルも分けない身元を結びつける。心配している脅威が端末を手に持っている誰かなら、VPNはそれに対処しない。
実際に買ったカバレッジを試す
マーケティングの主張ではなく、頼っている性質を試す。トンネルを上げた状態で、公開アドレス、DNSリゾルバー、IPv6の経路を確認する。デュアルスタック網でIPv4専用のトンネルは、IPv6の通信を完全に外に残し得る。EFFのVPN選びのガイドは同じ問いを製品ランキングではなく脅威モデルとして立てている。
次に障害時の挙動を試す。トンネルを切って、通信が止まるのか直接経路に戻るのかを確認するが、これはプロトコル名ではなくクライアントのkill switch設定に依存する。最後に、クライアントが除外するアプリとプレフィックスを列挙する。スプリットトンネルは、買ったカバレッジがクライアントの提供するよう設定されたカバレッジなのだから、驚きの大半が住む場所だ。