VPN провайдериңиз эмнени көрө алат жана эмнени көрө албайт
Чыгуу пункту даректерди, убакыттарды жана Encrypted Client Hello колдонулбаса, TLS кол алышуусундагы сайттын атын көрөт. Маалыматты сактоо — өзүнчө маселе.
Туннелиңиз жергиликтүү тармакты трафигиңизден тышкары кармайт. Бирок ал экинчи учундагы компанияны жок кылбайт; ал ар бир пакетти ачык интернетке жеткенге чейин иштетет. Бул позиция бир эле учурда бизнес-модель да, купуялуулук маселеси да. Ошондуктан пайдалуу суроо — провайдер сизди көрө алабы, жокпу эмес, ал эмнени көрөт, эмнеге ат коё алат жана эмнени сактайт.
Ишеним чындыгында кайда өтөт
Шифрлөө түзмөгүңүздөн провайдердин серверине чейин жүрөт жана ушул сырткы бөлүктү гана жергиликтүү тармагыңыз көрөт. Провайдер бул бөлүктүн экинчи учун кармайт, ошондуктан туннелди чечип, пакеттериңизди андан ары жөнөтөт. Бул жерде эч кандай кемчилик жок; бул сиз сатып алган кызматтын аныктамасы. Ишеним жоголбой, жергиликтүү оператордон чыгуу операторуна өттү.
Ушул позициядан ал сиздин булак дарегиңизди, качан туташканыңызды, болжол менен канча өткөргөнүңүздү жана кайсы багыттарга кайрылганыңызды билет. Булардын эч бири билдирүүлөрүңүздү окууну талап кылбайт жана категорияларды бөлүүнүн мааниси да ушунда. Провайдерлердин ортосундагы кызыктуу айырмачылыктар бул байкоолор менен кийин эмне болоруна тиешелүү.
Чыгуу пункту сөзсүз эмнени иштетет
Категорияларды чыгуу пункту аларды канчалык ишенимдүү көрө аларына жараша иреттеңиз. Эч бир сап шифрлөөнү бузууну талап кылбайт жана ар биринин андан такыр качууга болобу деген суроого башкача жообу бар.
| Category | Visible at the exit | Why |
|---|---|---|
| Your public address | Always | It is the address the tunnel arrives from |
| Connection times and volume | Always | Accounting data, not content |
| Destination IP addresses | Always | The exit has to route the packets |
| HTTPS hostname (SNI) | Normally, unless ECH is used | Sent in the clear in the TLS ClientHello |
| DNS names | Only if DNS is plaintext | DoH or DoT hides the query; plaintext is readable by the forwarder |
| Page paths and form contents | Not normally | Protected by the destination site's TLS session |
Төртүнчү сап — ой жүгүртүү моделдеринин көбү эске албаган нерсе. Заманбап браузер сайттын атын ClientHello ичине салат, бул TLS кол алышуусунун биринчи билдирүүсү, жана бул талаа ар бир DNS суроосу учунан учуна шифрленгенде да чыгуу пунктунда окулат. Эгер Encrypted Client Hello боюнча макулдашылбаса, ат багыт дарегинин жанында ачык жүрөт. Шифрленген DNS суроону ким көрөрүн өзгөртөт, атты ким көрөрүн эмес.
Бул эски туташуулардагы сертификаттарга да тиешелүү: TLS 1.3 сервер сертификатын шифрлейт, ал эми TLS 1.2 кол алышуусу атты агымды жазуучу байкоочуга ача алат. Экөө тең ташуу фактысы, провайдердин саясаты эмес.
TLS эмнени камтыйт, эмнени камтыбайт
Сайт HTTPS сунуштаганда, браузериңиз ошол сайттын акыркы пункту менен TLS туташуусун түзөт, VPN сервери менен эмес. Провайдер шифрленген жазууларды андан ары жөнөтөт жана багыт дарегин, убакытты жана болжолдуу өлчөмдөрдү билет. Сайттын аты ECH оюнда болбосо ClientHello ичинде жүрөт, ал эми барактын мазмуну эки учурда тең шифрленген бойдон калат. Күтүлбөгөн тамыр сертификаты бул чекти өзгөртөт, ошондуктан сертификат эскертүүлөрү урматка татыктуу.
Жөнөкөй HTTP чыгуу пунктунан ары мындай коргоого ээ эмес. Туннель провайдерге чейинки бөлүктү коргойт, андан кийин сурам VPN жок учурдагыдай эле так жүрөт. ECH муну оңдобойт, анткени ал мазмунду эмес, атты коргойт.
Сактоо көрүнүүдөн өзүнчө маселе
Оператор туташуу маалыматтарын эстутумда иштеп чыгып, эч нерсе сактабашы мүмкүн, же бир бөлүгүн сактап, аны так сүрөттөп, браузер тарыхы эмес деп айта алат. Журналсыз деген билдирүүнү ураан боюнча эмес, категория боюнча окуңуз: туташуу жазуулары, убакыт белгилери, көлөм жыйындылары, багыт маалыматтары, эсеп идентификаторлору жана колдоо билдирүүлөрү — баары эсептелет. Провайдер адал түрдө браузер журналдарын жүргүзбөй эле эсеп жазуусун жана кызматты жүргүзүүгө керектүү метамаалыматтарды сактай алат. Көрүнүү бул категориялардын кайсынысы сакталарын айтпайт.
Аудит системалар жана ал камтыган убакыт терезеси жөнүндө далил, ал эми ачык баштапкы коддуу клиент коду серверлерди эмес, клиентти сүрөттөйт. Экөө тең пайдалуу жана экөө тең чыгуу пунктунун артындагы ар бир сактоо системасынын атынан сүйлөбөйт. Аудиттин белгисин эмес, көлөмүн сураңыз.
Провайдерлерди айырмалаган суроолор
Эмне сакталарын, канча убакыт жана ким ала аларын сураңыз. Чыгуу пунктун ким башкарарын сураңыз, анткени каталог жазуусу, колдонмо иштеп чыгуучусу жана белгилүү бир серверди жүргүзгөн адам үч башка тарап болушу мүмкүн. DNS кантип иштетилерин жана сиз колдонгон жолдордо ECH колдоого алынганын сураңыз, анткени ачык тексттеги ClientHello DNS суроосуз эле сайтты атайт. Укуктук сурам келгенде эмне болорун сураңыз жана жоопту ниеттин эмес, мүмкүнчүлүктүн сүрөттөмөсү катары окуңуз.
EFFтин VPN тандоо боюнча колдонмосу бул суроолор үчүн акылга сыярлык текшерүү тизмеси жана ал кандайдыр бир кызмат жөнүндө өкүм эмес, алкак. Маркетинг баракчасы сактоо саясаты эмес. Булардын эч бири VPNди пайдасыз кылбайт; бул кимге ишенүү керектигин жана эмне үчүн экенин өзгөртөт.