Kas gali matyti jūsų VPN srautą? Keturi stebėtojai
Vietinis tinklas, VPN operatorius, darbdavys ir paskirties vieta kiekvienas mato skirtingą dalį. Palyginkite juos prieš pasitikėdami tuneliu dėl privatumo.
Tunelis pakeičia, kur jūsų srautas tampa stebimas. Jis nepadaro jo nestebimo, o šalis, kuri įgyja matomumą, yra ta, per kurią nukreipėte srautą. Ar šis mainas vertas, priklauso nuo to, kuriuo šuoliu nepasitikite, todėl naudingas palyginimas yra tarp stebėtojų, o ne tarp prekės ženklų.
Vienoje jungtyje sėdi keturios šalys
Sekite užklausą nuo nešiojamojo kompiuterio į išorę ir atsiranda keturios pozicijos: prisijungtas prieigos tinklas, VPN išėjimas, įmonės aplinka, jei įrenginys valdomas, ir pati paskirties vieta. Kiekviena užima skirtingą vietą kelyje, todėl kiekviena renka skirtingo pobūdžio įrodymus. Lentelė yra visas argumentas viename vaizde.
| Observer | Sees | Does not see |
|---|---|---|
| Local network and ISP | That a tunnel exists, its endpoint, volume and timing | Destinations carried inside the tunnel |
| VPN operator | Source address, destinations, unencrypted content | Content protected end to end by TLS |
| Managed employer | Device telemetry, DNS and proxy logs, policy decisions | Nothing about the device is hidden from its owner |
| Destination | Exit address, account, cookies, client fingerprint | Who is behind the exit address |
Skaitykite lentelę nuo grėsmės į išorę. Jei kavinės Wi-Fi yra rūpestis, keičiasi pirmoji eilutė; jei tiekėjas yra rūpestis, jūs pakeitėte vieną operatorių kitu ir antroji eilutė dabar svarbesnė. Eilutės nekonkuruoja; kiekviena apibūdina skirtingą poziciją tame pačiame kelyje.
Prieigos tinklas vis dar mato tunelį
Jūsų tiekėjas arba viešbučio tinklas mato jungtį į IP adresą, perduotus baitus ir laikus, kada jie judėjo. Jis nemato svetainių tunelio viduje, jei ir vardų sprendimas keliauja tunelio viduje, o paskirties vieta pasiekiama per išėjimą, o ne tiesiogiai.
Dvi nuotėkos išlieka dažniau, nei žmonės tikisi. DNS užklausos, siunčiamos vietiniam sprendėjui, vis dar įvardija svetaines, o serverio vardas įprastame TLS rankos paspaudime yra įskaitomas kelyje, nebent naudojamas užšifruotas kliento pasisveikinimas. Nė vienos neišsprendžia kliento įdiegimas; abi yra konfigūracijos klausimai.
VPN operatorius ir darbdavys už jo
Komercinis tiekėjas stovi ten pat, kur stovėjo jūsų tiekėjas: jis persiunčia jūsų paketus ir gali skaityti viską, kas nėra atskirai užšifruota. Slaptažodis, įvestas į paprastą HTTP formą, yra įskaitomas išėjime, nors pirmasis šuolis buvo užšifruotas. Tunelis perkėlė pasitikėjimą, jis nepanaikino atskleidimo. Perskaitykite tiekėjo registravimo politiką prieš manydami, kad mainai ką nors pagerino.
Valdomame darbo nešiojamajame kompiuteryje organizacija valdo galinį tašką, todėl įrenginio valdymas, DNS registravimas ir tarpinio serverio įrašai jį stebi nepriklausomai nuo to, ar tunelis prijungtas. Asmeninis VPN nepadaro valdomo įrenginio privataus, o daugelyje tinklų tai yra politikos pažeidimas, o ne privatumo priemonė.
Kitų jūsų namų įrenginių srautas tam darbdaviui nematomas, nebent darbo nešiojamasis kompiuteris sąmoningai veikia kaip jų tarpinė. Šis skirtumas svarbus, kai namų ūkis dalijasi viena jungtimi ir daro prielaidą apie blogiausią.
Paskirties vieta ir kaimynai išėjime
Svetainė, kurią lankotės, mato išėjimo adresą, paskyrą, su kuria prisijungėte, slapukus ir naršyklės savybes. Tunelis keičia tik pirmą elementą, o prisijungimas vis tiek susieja išėjimo adresą su jumis.
Bendros paslaugos prideda subtilesnę riziką. Jei tiekėjas neizoliuoja klientų vienas nuo kito, mašina, klausanti prievado, gali būti pasiekiama kitiems to paties išėjimo klientams. Įeinančio srauto blokavimas pagal nutylėjimą pagrindinio kompiuterio užkardoje padengia didžiąją dalį šios rizikos. Išbandyti tai reiškia prijungti antrą įrenginį prie tos pačios paslaugos ir pabandyti pasiekti klausantį prievadą.
Kai kurie dalykai niekada nesikeičia: paskyros identifikatoriai, sekimas programų lygmeniu ir paties telefono žinojimas, kad jis persiunčia srautą, kai dalijatės jungtimi. Tunelis yra maršrutizavimo sprendimas, o ne tapatybės pakeitimas.
Pasirinkite stebėtoją, nuo kurio sleiatės, prieš pasirinkdami produktą. Jei tai vietinis tinklas, padeda beveik bet koks teisingai sukonfigūruotas išėjimas. Jei tai paties tiekėjo registravimas, sutartis yra sprendimo dalis. Jei tai jūsų darbdavys, joks asmeninis tunelis to nepadarys.