Wat Äre VPN-Provider gesi kann a wat net
Den Ausgang gesäit Adressen, Zäiten an, wann net Encrypted Client Hello benotzt gëtt, den Numm vum Site am TLS-Handshake. D'Späichere ass eng aner Fro.
Ären Tunnel hält d'lokalt Netzwierk aus Ärem Trafic eraus. Hien eliminéiert awer net d'Firma um aneren Enn, déi all Paket verschafft, ier et den oppenen Internet erreecht. Dës Positioun ass gläichzäiteg d'Geschäftsmodell an d'Privatsphärfro. Dofir ass déi nëtzlech Fro net, ob de Provider Iech gesi kann, mä wat hie gesäit, wat hien nenne kann a wat hie behält.
Wou den Vertrauen tatsächlech ëmzitt
D'Verschlësselung geet vun Ärem Apparat bis op de Server vum Provider, an dee baussenzegen Deel ass alles, wat Äert lokal Netzwierk iwwerhaapt gesäit. De Provider hält dat anert Enn vum Deel, also entschësselt hien den Tunnel an deet Är Pakete weider. Do ass keen Defekt dran; et ass d'Definitioun vum Service, deen Dir kaaft hutt. Den Vertrauen ass vum lokale Bedreiwer op de Bedreiwer vum Ausgang geplënnert, amplaz ze verschwannen.
Vun dëser Positioun léiert hien Är Quelladress, wéini Dir verbonnen hutt, ongeféier wéi vill Dir iwwerdroen hutt a wéi eng Destinatiounen Dir kontaktéiert hutt. Näischt dovun erfuerdert Är Messagen ze liesen, an dat ass de Sënn vun de Kategorien ze trennen. Déi interessant Ënnerscheeder tëscht Provider enthalen dat, wat duerno mat dësen Observatiounen geschitt.
Wat den Ausgang onbedéngt verschafft
Sortéiert d'Kategorien no, wéi zouverlässeg den Ausgang se gesi kann. Keng Zeil erfuerdert d'Verschlësselung ze briechen, an all huet eng aner Äntwert drop, ob se iwwerhaapt ze vermeiden ass.
| Category | Visible at the exit | Why |
|---|---|---|
| Your public address | Always | It is the address the tunnel arrives from |
| Connection times and volume | Always | Accounting data, not content |
| Destination IP addresses | Always | The exit has to route the packets |
| HTTPS hostname (SNI) | Normally, unless ECH is used | Sent in the clear in the TLS ClientHello |
| DNS names | Only if DNS is plaintext | DoH or DoT hides the query; plaintext is readable by the forwarder |
| Page paths and form contents | Not normally | Protected by the destination site's TLS session |
Déi véiert Zeil ass dat, wat déi meescht mental Modeller iwwersinn. En modernen Browser setzt den Numm vum Site an den ClientHello, déi éischt Noriicht vum TLS-Handshake, an dee Feld ass um Ausgang liesbar, och wann all DNS-Ufro vun Enn zu Enn verschlësselt ass. Ausser et gëtt iwwer Encrypted Client Hello verhandelt, reest den Numm am Kloertext nieft der Destinatiounsadress. Verschlësselt DNS ännert, wien d'Ufro gesäit, net wien den Numm gesäit.
Datselwecht gëllt fir Zertifikater op eelere Verbindungen: TLS 1.3 verschlësselt de Serverzertifikat, wärend en TLS 1.2 Handshake den Numm engem Observateur ka weisen, deen de Stroum ophëlt. Béides si Fakten vum Transport a keng Politik vum Provider.
Wat TLS deckt a wat net
Wann e Site HTTPS ubitt, baut Äre Browser eng TLS-Verbindung zum Endpunkt vun deem Site op, net zum VPN-Server. De Provider deet verschlësselt Opzeechnungen weider an léiert d'Destinatiounsadress, den Zäitpunkt an déi ongeféier Gréissten. Den Numm vum Site geet am ClientHello mat, ausser ECH ass am Spill, a de Kierper vum Säit bleift an zwou Fäll verschlësselt. En onerwaarten Rootzertifikat ännert déi Grenz, dofir verdéngen Zertifikatswarnungen Respekt.
Einfachen HTTP huet keng sou Schutz hannert dem Ausgang. Den Tunnel schützt den Deel bis zum Provider, an duerno reest d'Ufro genee esou, wéi se ouni VPN gereest wier. ECH reparéiert dat net, well en den Numm schützt an net den Inhalt.
Späichere ass eng aner Fro wéi Visibilitéit
En Bedreiwer kann Verbindungsdaten am Späicher verschaffen an näischt behalen, oder eng Ënnermeng behalen an se genee beschreiwen als net Browserverlaf. Liest eng Null-Log-Behauptung no Kategorie an net no Slogan: Verbindungsopzeechnungen, Zäitstempelen, Volumen-Totalen, Destinatiounsdaten, Kontidentifikateuren a Supportnoriichten zielen all. E Provider kann éierlech keng Browserloge féieren an gläichzäiteg de Kontopzeechen an d'Metadaten behalen, déi néideg sinn, fir de Service ze bedreiwen. Visibilitéit seet Iech net, wéi eng vun dëse Kategorien gespäichert gëtt.
En Audit ass e Beweis iwwer d'Systemer an d'Zäitfenster, déi en ofgedeckt huet, an oppene Clientcode beschreift de Client an net d'Serveren. Béides ass nëtzlech, an keen vun deene spriecht fir all Späichersystem hannert dem Ausgang. Frot no dem Ëmfang vum Audit, net no sengem Badge.
Froen, déi Provider trennen
Frot, wat behalen gëtt, wéi laang a wien et kann ofruffen. Frot, wien den Ausgang bedreift, well en Directoire-Andrag, en App-Entwéckler an déi Persoun, déi en bestëmmte Server bedreift, dräi verschidden Deeler kënne sinn. Frot, wéi DNS behandelt gëtt an ob ECH op de Weeër, déi Dir benotzt, ënnerstëtzt gëtt, well en ClientHello am Kloertext de Site och ouni DNS-Ufro nennt. Frot, wat bei enger juristescher Ufro geschitt, a liest d'Äntwert als Beschreiwung vu Fähegkeet an net vun Absicht.
Dem EFF seng Guide fir eng VPN ze wielen ass eng raisonnabel Checklist fir déi Froen, an et ass e Kader an net en Uerteel iwwer ee Service. Eng Marketing-Säit ass keng Späicherpolitik. Naischt dovu mécht eng VPN nëtzlos; et ännert, wiem Dir misst vertrauen, a fir wat.