VPN провайдеріңіз нені көре алады, нені көре алмайды
Шығу нүктесі мекенжайларды, уақыттарды және Encrypted Client Hello қолданылмаса, TLS қол алысуындағы сайт атауын көреді. Деректерді сақтау — бөлек мәселе.
Сіздің туннеліңіз жергілікті желіні трафигіңізден тыс ұстайды. Бірақ ол екінші ұшындағы компанияны жоймайды; ол әр пакетті ашық интернетке жеткенге дейін өңдейді. Бұл позиция бір уақытта бизнес-модель де, құпиялылық мәселесі де. Сондықтан пайдалы сұрақ — провайдер сізді көре ала ма, жоқ па емес, ол нені көреді, неге ат қоя алады және нені сақтайды.
Сенім шын мәнінде қайда ауысады
Шифрлау құрылғыңыздан провайдер серверіне дейін жүреді және осы сыртқы бөлікті ғана жергілікті желіңіз көреді. Провайдер бұл бөліктің екінші ұшын ұстайды, сондықтан туннельді шешіп, пакеттеріңізді әрі қарай жібереді. Бұнда ешқандай кемшілік жоқ; бұл сіз сатып алған қызметтің анықтамасы. Сенім жоғалып кетпей, жергілікті оператордан шығу операторына ауысты.
Осы позициядан ол сіздің бастапқы мекенжайыңызды, қашан қосылғаныңызды, шамамен қанша жібергеніңізді және қандай межелерге хабарласқаныңызды біледі. Осының ешқайсысы хабарламаларыңызды оқуды қажет етпейді және санаттарды бөлудің мәні де осында. Провайдерлер арасындағы қызықты айырмашылықтар осы бақылаулармен кейін не болатынына қатысты.
Шығу нүктесі міндетті түрде нені өңдейді
Санаттарды шығу нүктесі оларды қаншалықты сенімді көре алатынына қарай реттеңіз. Ешбір жол шифрлауды бұзуды талап етпейді және әрқайсысының одан мүлдем құтылуға бола ма деген сұраққа әртүрлі жауабы бар.
| Category | Visible at the exit | Why |
|---|---|---|
| Your public address | Always | It is the address the tunnel arrives from |
| Connection times and volume | Always | Accounting data, not content |
| Destination IP addresses | Always | The exit has to route the packets |
| HTTPS hostname (SNI) | Normally, unless ECH is used | Sent in the clear in the TLS ClientHello |
| DNS names | Only if DNS is plaintext | DoH or DoT hides the query; plaintext is readable by the forwarder |
| Page paths and form contents | Not normally | Protected by the destination site's TLS session |
Төртінші жол — ойлау модельдерінің көбісі жіберіп алатын нәрсе. Заманауи браузер сайт атауын ClientHello ішіне қояды, бұл TLS қол алысуының бірінші хабарламасы, және бұл өріс әр DNS сұранысы ұшынан ұшына шифрланған кезде де шығу нүктесінде оқылады. Егер Encrypted Client Hello келісілмесе, атау меже мекенжайының қасында ашық түрде жүреді. Шифрланған DNS сұранысты кім көретінін өзгертеді, атауды кім көретінін емес.
Бұл ескі қосылымдардағы сертификаттарға да қатысты: TLS 1.3 сервер сертификатын шифрлайды, ал TLS 1.2 қол алысуы атауды ағынды жазатын бақылаушыға аша алады. Екеуі де тасымал фактісі, провайдер саясаты емес.
TLS нені қамтиды, нені қамтымайды
Сайт HTTPS ұсынғанда, браузеріңіз сол сайттың соңғы нүктесімен TLS қосылымын құрады, VPN серверімен емес. Провайдер шифрланған жазбаларды әрі қарай жібереді және меже мекенжайын, уақытын және шамамен өлшемдерін біледі. Сайт атауы ECH ойында болмаса ClientHello ішінде жүреді, ал бет мазмұны екі жағдайда да шифрланған күйде қалады. Күтпеген түбірлік сертификат бұл шекараны өзгертеді, сондықтан сертификат ескертулері құрметке лайық.
Қарапайым HTTP шығу нүктесінен кейін мұндай қорғанысқа ие емес. Туннель провайдерге дейінгі бөлікті қорғайды, содан кейін сұраныс VPN-сіз жүретіндей дәл жүреді. ECH мұны түзетпейді, өйткені ол мазмұнды емес, атауды қорғайды.
Сақтау көрінуден бөлек мәселе
Оператор қосылым деректерін жадта өңдеп, ештеңе сақтамауы мүмкін, немесе бір бөлігін сақтап, оны дәл сипаттап, браузер тарихы емес деп айтуы мүмкін. Журналсыз деген мәлімдемені ұран бойынша емес, санат бойынша оқыңыз: қосылым жазбалары, уақыт белгілері, көлем қосындылары, меже деректері, тіркелгі идентификаторлары және қолдау хабарламалары — бәрі есептеледі. Провайдер адал түрде браузер журналдарын жүргізбей-ақ тіркелгі жазбасын және қызметті жүргізуге қажет метадеректерді сақтай алады. Көріну осы санаттардың қайсысы сақталатынын айтпайды.
Аудит жүйелер және ол қамтыған уақыт терезесі туралы дәлел, ал ашық бастапқы кодты клиент коды серверлерді емес, клиентті сипаттайды. Екеуі де пайдалы және ешқайсысы шығу нүктесінің артындағы әрбір сақтау жүйесінің атынан сөйлемейді. Аудиттің белгісін емес, ауқымын сұраңыз.
Провайдерлерді ажырататын сұрақтар
Ненің сақталатынын, қанша уақыт және кім ала алатынын сұраңыз. Шығу нүктесін кім басқаратынын сұраңыз, өйткені каталог жазбасы, қолданба әзірлеушісі және белгілі бір серверді жүргізетін адам үш түрлі тарап болуы мүмкін. DNS қалай өңделетінін және сіз пайдаланатын жолдарда ECH қолдау көрсетілгенін сұраңыз, өйткені ашық мәтінді ClientHello DNS сұранысынсыз да сайтты атайды. Заңды сұраныс кезінде не болатынын сұраңыз және жауапты ниеттің емес, мүмкіндіктің сипаттамасы ретінде оқыңыз.
EFF-тің VPN таңдау жөніндегі нұсқаулығы осы сұрақтарға лайықты тексеру тізімі және ол қандай да бір қызмет туралы үкім емес, шеңбер. Маркетингтік бет сақтау саясаты емес. Осының ешқайсысы VPN-ді пайдасыз етпейді; бұл кімге сену керектігін және не үшін екенін өзгертеді.