VPN 메타데이터: 각 관찰자가 여전히 볼 수 있는 것

암호화가 숨기는 것은 무엇을 보냈는지이지, 무언가를 보냈다는 사실이 아니다. 크기와 시점, 외부 주소는 경로의 서로 다른 지점에 있는 당사자들에게 여전히 이용 가능하다. 관찰자마다 다른 조각을 얻으며, 프라이버시의 질문은 그 조각이 무엇을 뒷받침할 수 있는가이다. 노출이 무엇을 뜻하는지 결정하기 전에 누가 보고 있는지부터 이름 붙여라.

주장보다 먼저 관찰자를 이름 붙여라

전형적인 터널에서 네 위치, 즉 당신의 접속망, VPN 사업자의 출구, 이름을 받는 모든 리졸버, 그리고 목적지 자체가 중요하다. 각각은 출발지, 목적지, 이름, 크기, 시간의 서로 다른 조합을 본다. VPN이 무엇을 드러내는가에 대한 일반적인 주장은 거의 항상 이 위치 중 하나에 대한 주장이다.

분석에서 이들을 분리해 두라. 이들을 합치면 검증할 수 없는 주장이 생긴다. 관찰자의 위치는 나중에 법적 요청이 그에게서 무엇을 얻을 수 있는지도 결정한다.

내용과 목적지는 다른 질문이다

암호화는 연결의 페이로드를 보호하고, HTTPS는 자체 교환에서 그것을 다시 보호한다. 그러나 목적지 주소는 라우팅 정보이며, 출구는 그곳으로 전달해야 한다. DNS 리졸버는 자신이 응답하는 이름을 받으며, 다른 호스트 이름의 가시성은 사용하는 프로토콜에 달려 있다. 모든 중개자가 전체 URL을 본다고 가정하는 것은 아무도 아무것도 보지 못한다고 가정하는 것만큼 틀렸다.

계정 식별자, 기기 레이블, 진단 ID는 패킷 필드가 아니라 관리 시스템에 사는 경우가 많다. 프로토콜 명세는 그 주변의 분석을 설명하지 않는다. 접속망에서 주소를 숨기는 터널도 출구에는 여전히 노출할 수 있으므로, 동일한 메타데이터라도 누구의 손에 있느냐에 따라 가치가 다르다.

관찰 가능은 보관을 뜻하지 않는다

종단점은 기록을 남기지 않고 트래픽을 전달하기 위해 데이터를 처리할 수 있다. 제한된 기간 동안 진단 정보, 집계 총계, 계정별 기록을 보관할 수도 있다. 이들은 결과가 다른 별개의 행동이며, 익명이라는 단어가 둘을 구분하는 경우는 드물다. 서버를 지나가는 패킷은 어디로 갔는지에 대한 자동 기록을 남기지 않는다.

무엇이 수집되는지, 계정과 연결되는지, 얼마나 오래 보관되는지, 누가 읽을 수 있는지 물어라. 모든 사용자에 걸친 총계는 하나의 신원에 묶인 시각 기록과는 다른 질문에 답한다. 그 구분이 바로 개인정보 보호정책과 마케팅 문구의 차이다.

제공자를 비교하기 전에 답을 적어 두라. 구두 보증은 보관 정책이 아니다.

보관에 대해 구체적으로 물어라

제품을 비교하기 전에 질문을 문서로 만들어라. 어떤 사건이, 어느 정도 세분화로, 얼마 동안, 누구의 통제 아래 기록되는가? 데이터는 집계되거나 표본 추출되거나 일정에 따라 삭제되는가? 요청하면 사업자가 계정별 이력을 제공할 수 있는가?

그 답들은 결정 기록에 속한다. 그것이 없으면 비교는 구호 경쟁이다.

RFC 6973 프라이버시 지침은 이러한 질문에 유용한 틀인데, 데이터 최소화를 보관 및 이차 이용과 분리하기 때문이다. 출구의 국가를 밝히는 목록은 어디서 연결하는지 알려 준다. 그것은 그 사업자가 무엇을 저장하는지에 관해 아무것도 말하지 않는다.