Kas var redzēt jūsu VPN datplūsmu? Četri novērotāji
Vietējais tīkls, VPN operators, darba devējs un galamērķis katrs redz citu daļu. Salīdziniet tos pirms uzticēšanās tunelim privātuma labad.
Tunelis maina to, kur jūsu datplūsma kļūst novērojama. Tas nepadara to nenovērojamu, un puse, kas iegūst redzamību, ir tā, caur kuru jūs novirzījāt datplūsmu. Vai šī maiņa ir tā vērta, ir atkarīgs no tā, kuram lēcienam jūs neuzticaties, tāpēc noderīgais salīdzinājums ir starp novērotājiem, nevis starp zīmoliem.
Uz viena savienojuma sēž četras puses
Izsekojiet pieprasījumam no klēpjdatora uz āru, un parādās četras pozīcijas: pievienotais piekļuves tīkls, VPN izeja, uzņēmuma vide, ja ierīce tiek pārvaldīta, un pats galamērķis. Katra ieņem citu vietu ceļā, tāpēc katra vāc cita veida pierādījumus. Tabula ir viss arguments vienā skatā.
| Observer | Sees | Does not see |
|---|---|---|
| Local network and ISP | That a tunnel exists, its endpoint, volume and timing | Destinations carried inside the tunnel |
| VPN operator | Source address, destinations, unencrypted content | Content protected end to end by TLS |
| Managed employer | Device telemetry, DNS and proxy logs, policy decisions | Nothing about the device is hidden from its owner |
| Destination | Exit address, account, cookies, client fingerprint | Who is behind the exit address |
Lasiet tabulu no draudiem uz āru. Ja kafejnīcas Wi-Fi ir bažas, mainās pirmā rinda; ja pakalpojumu sniedzējs ir bažas, jūs esat nomainījis vienu operatoru pret citu un otrā rinda tagad nozīmē vairāk. Rindas nekonkurē; katra apraksta citu pozīciju tajā pašā ceļā.
Piekļuves tīkls joprojām redz tuneli
Jūsu pakalpojumu sniedzējs vai viesnīcas tīkls redz savienojumu ar IP adresi, pārsūtītos baitus un laikus, kad tie kustējās. Tas neredz vietnes tuneļa iekšpusē, ja arī nosaukumu atrisināšana ceļo tuneļa iekšpusē un galamērķis tiek sasniegts caur izeju, nevis tieši.
Divi noplūdes izdzīvo biežāk, nekā cilvēki gaida. DNS vaicājumi, kas nosūtīti vietējam atrisinātājam, joprojām nosauc vietnes, un servera nosaukums parastā TLS rokasspiedienā ir lasāms ceļā, ja vien netiek izmantots šifrēts klienta sveiciens. Nevienu no tiem neizlabo klienta instalēšana; abi ir konfigurācijas jautājumi.
VPN operators un darba devējs aiz tā
Komerciāls pakalpojumu sniedzējs stāv tieši tur, kur stāvēja jūsu sniedzējs: tas pārsūta jūsu paketes un var lasīt visu, kas nav atsevišķi šifrēts. Parastā HTTP formā ierakstīta parole ir lasāma izejā, lai gan pirmais lēciens bija šifrēts. Tunelis pārvietoja uzticēšanos, tas nenovērsa atklāšanu. Izlasiet sniedzēja žurnālu politiku, pirms pieņemat, ka maiņa kaut ko uzlaboja.
Pārvaldītā darba klēpjdatorā galapunktu pieder organizācijai, tāpēc ierīces pārvaldība, DNS žurnāli un starpniekservera ieraksti to novēro neatkarīgi no tā, vai tunelis ir pievienots. Personīgais VPN nepadara pārvaldītu ierīci privātu, un daudzos tīklos tas ir politikas pārkāpums, nevis privātuma pasākums.
Citu jūsu mājas ierīču datplūsma šim darba devējam nav redzama, ja vien darba klēpjdators apzināti nedarbojas kā viņu vārteja. Šī atšķirība ir svarīga, kad mājsaimniecība dala vienu savienojumu un pieņem sliktāko.
Galamērķis un kaimiņi izejā
Vietne, kuru apmeklējat, redz izejas adresi, kontu, ar kuru pierakstījāties, sīkfailus un pārlūka īpašības. Tunelis maina tikai pirmo vienumu, un pierakstīšanās jebkurā gadījumā saista izejas adresi ar jums.
Koplietotie pakalpojumi pievieno smalkāku risku. Ja sniedzējs neizolē klientus vienu no otra, mašīna, kas klausās portā, var būt sasniedzama citiem tā paša izejas klientiem. Ienākošās datplūsmas bloķēšana pēc noklusējuma resursdatora ugunsmūrī nosedz lielāko daļu šī riska. To pārbaudīt nozīmē pievienot otru ierīci tam pašam pakalpojumam un mēģināt sasniegt klausošos portu.
Dažas lietas nekad nemainās: konta identifikatori, izsekošana lietojumprogrammu līmenī un paša tālruņa zināšana, ka tas pārsūta datplūsmu, kad koplietojat savienojumu. Tunelis ir maršrutēšanas lēmums, nevis identitātes maiņa.
Izvēlieties novērotāju, no kura slēpjaties, pirms izvēlaties produktu. Ja tas ir vietējais tīkls, palīdz gandrīz jebkura pareizi konfigurēta izeja. Ja tas ir paša sniedzēja žurnāli, līgums ir lēmuma daļa. Ja tas ir jūsu darba devējs, neviens personīgais tunelis to neizdarīs.