Wien kann Ären VPN-Trafic gesinn? Véier Observateuren
D'Lokalnetz, de VPN-Operateur, den Employeur an d'Destinatioun gesinn all een aneren Deel. Vergläicht se, ier Dir engem Tunnel fir Privatsphär vertraut.
En Tunnel ännert, wou Ären Trafic observéierbar gëtt. Hie mécht en net onobservéierbar, an d'Partei, déi Visibilitéit gewënnt, ass déi, duerch déi Dir den Trafic geleet hutt. Ob dësen Tausch et wäert ass, hänkt dovun of, wéi engem Schrëtt Dir net vertraut, also ass de nëtzleche Verglach tëscht den Observateuren an net tëscht de Marken.
Véier Parteien sëtzen op enger Verbindung
Verfollegt eng Ufro vum Laptop no baussen an et erschéngen véier Positiounen: d'Zougangsnetz, an dat Dir agetrueden sidd, den VPN-Ausgang, d'Firmenëmfeld wann d'Apparat verwalt gëtt, an d'Destinatioun selwer. Jiddereen hält eng aner Plaz am Wee, also sammelt jiddereen eng aner Zort Beweis. D'Tabell ass d'ganz Argument an engem Bléck.
| Observer | Sees | Does not see |
|---|---|---|
| Local network and ISP | That a tunnel exists, its endpoint, volume and timing | Destinations carried inside the tunnel |
| VPN operator | Source address, destinations, unencrypted content | Content protected end to end by TLS |
| Managed employer | Device telemetry, DNS and proxy logs, policy decisions | Nothing about the device is hidden from its owner |
| Destination | Exit address, account, cookies, client fingerprint | Who is behind the exit address |
Liest d'Tabell vun der Menace no baussen. Wann de Café-Wi-Fi d'Suecht ass, ännert sech déi éischt Zeil; wann de Provider d'Suecht ass, hutt Dir een Operateur géint en aneren ausgetosch an déi zweet Zeil zielt elo méi. D'Zeile konkurréiere net; jidderee beschreift eng aner Positioun um selwechte Wee.
D'Zougangsnetz gesäit den Tunnel nach ëmmer
Äre Provider oder d'Hotelnetz gesäit eng Verbindung zu enger IP-Adress, déi iwwerdroe Bytes an d'Zäiten, wéini se sech beweegt hunn. Et gesäit d'Säiten am Tunnel net, soulaang d'Nimm-Opléisung och am Tunnel reest an d'Destinatioun iwwer den Ausgang an net direkt erreecht gëtt.
Zwee Lecke iwwerliewen dacks méi wéi d'Leit erwaarden. DNS-Ufroen, déi un den lokalen Opléiser geschéckt ginn, nennen d'Säiten nach ëmmer, an den Numm vum Server an engem gewéinlechen TLS-Handshake ass um Wee liesbar, ausser et gëtt eng verschlësselt Client-Begréissung benotzt. Keent vun deenen zwee gëtt duerch d'Installatioun vun engem Client behuewen; béid sinn Konfiguratiounsfroen.
Den VPN-Operateur, an den Employeur hannendrun
E kommerziellen Provider steet genee do, wou Äre Provider stoung: hie leet Är Paketen weider a kann alles liesen, wat net separat verschlësselt ass. E Passwuert, dat an en einfache HTTP-Formular getippt gëtt, ass um Ausgang liesbar, obwuel deen éischte Schrëtt verschlësselt war. Den Tunnel huet d'Vertrauen verréckelt, hien huet d'Expositioun net ewechgeholl. Liest d'Logging-Politik vum Provider, ier Dir unhëlt, datt den Tausch eppes verbessert huet.
Op engem verwaltete Aarbechtslaptop besëtzt d'Organisatioun den Endpunkt, also observéieren d'Apparateverwaltung, DNS-Logging a Proxy-Opzeechnungen en, egal ob en Tunnel verbonnen ass oder net. Eng perséinlech VPN mécht en verwaltent Apparat net privat, a op ville Netze ass et eng Richtlinnverletzung an net eng Privatsphärsmossnam.
Den Trafic vun aneren Apparater an Ärem Heem ass fir deen Employeur net sichtbar, ausser den Aarbechtslaptop handelt bewosst als hire Gateway. Dee Ënnerscheed ass wichteg, wann en Haushalt eng Verbindung deelt an dat Schlimmst ugeholl gëtt.
D'Destinatioun, an d'Nopere beim Ausgang
D'Säit, déi Dir besicht, gesäit d'Ausgangsadress, de Kont, mat deem Dir Iech ageloggt hutt, Cookien an d'Browser-Eegenschaften. En Tunnel ännert just den éischten Element, an d'Aloggen verbënnt d'Ausgangsadress souwisou mat Iech.
Gedeelte Servicer bäi en nach méi subtilt Risiko derbäi. Wann de Provider d'Clienten net vunenee trennt, kann eng Maschinn, déi op engem Port lauschtert, vun aneren Cliente vum selwechten Ausgang erreechbar sinn. Den eingehende Trafic standardméisseg an der Host-Firewall ze blockéieren deckt de gréissten Deel vun deem Risiko. Et ze testen heescht en zweeten Apparat un de selwechte Service ze schléissen an ze probéieren, en lauschterende Port z'erreechen.
Verschidde Saachen ännere sech ni: Kont-Identifianten, Tracking op Applikatiounsniveau, an d'Wësse vum Telefon selwer, datt et den Trafic weiderleet, wann Dir d'Verbindung deelt. En Tunnel ass eng Routing-Entscheedung, keen Identitéitswiessel.
Wielt den Observateur, virun deem Dir Iech verstoppt, ier Dir e Produkt wielt. Wann et d'Lokalnetz ass, hëlleft bal all korrekt konfiguréierten Ausgang. Wann et d'Logging vum Provider selwer ass, ass de Kontrakt Deel vun der Entscheedung. Wann et Ären Employeur ass, wäert keen perséinlechen Tunnel d'Aarbecht maachen.