Таны VPN нийлүүлэгч юу харж чадах, юу чадахгүй
Гарц нь хаяг, цаг, мөн Encrypted Client Hello ашиглахгүй бол TLS гар барилтын доторх сайтын нэрийг хардаг. Хадгалалт нь тусдаа асуудал.
Таны туннель локал сүлжээг таны урсгалаас гадуур байлгадаг. Гэхдээ энэ нь нөгөө үзүүрт байгаа компанийг арилгахгүй; тэр компани пакет бүрийг нээлттэй интернетэд хүрэхээс өмнө боловсруулдаг. Энэ байр суурь нь бизнес загвар ба нууцлалын асуудал нэгэн зэрэг юм. Тиймээс хэрэгтэй асуулт нь нийлүүлэгч таныг харж чадах эсэх биш, харин юу хардаг, юуг нэрлэж чадах, юуг хадгалдаг вэ гэдэг юм.
Итгэл үнэхээр хаашаа шилждэг
Шифрлэлт таны төхөөрөмжөөс нийлүүлэгчийн сервер хүртэл явдаг бөгөөд энэ гадаад хэсэг нь таны локал сүлжээний харж чадах бүхэн юм. Нийлүүлэгч энэ хэсгийн нөгөө үзүүрийг барьдаг тул туннелийг тайлж, пакетуудыг тань цааш дамжуулдаг. Үүнд ямар ч алдаа байхгүй; энэ бол таны худалдан авсан үйлчилгээний тодорхойлолт. Итгэл алга бололгүй, локал оператороос гарцын оператор руу шилжсэн.
Энэ байр сууринаас тэр таны эх хаяг, хэзээ холбогдсон, ойролцоогоор хэр их дамжуулсан, ямар очих газруудтай холбогдсоныг мэддэг. Эдгээрийн аль нь ч таны зурвасыг уншихыг шаарддаггүй бөгөөд ангиллыг тусгаарлах утга нь ч энэ юм. Нийлүүлэгчдийн хоорондын сонирхолтой ялгаа нь эдгээр ажиглалтад дараа нь юу тохиолдохтой холбоотой.
Гарц зайлшгүй юу боловсруулдаг
Ангиллыг гарц тэдгээрийг хэр найдвартай харж чадахаар нь эрэмбэлээрэй. Аль ч мөр шифрлэлтийг эвдэхийг шаарддаггүй бөгөөд үүнээс огт зайлсхийх боломжтой эсэхэд тус бүр өөр хариулттай.
| Category | Visible at the exit | Why |
|---|---|---|
| Your public address | Always | It is the address the tunnel arrives from |
| Connection times and volume | Always | Accounting data, not content |
| Destination IP addresses | Always | The exit has to route the packets |
| HTTPS hostname (SNI) | Normally, unless ECH is used | Sent in the clear in the TLS ClientHello |
| DNS names | Only if DNS is plaintext | DoH or DoT hides the query; plaintext is readable by the forwarder |
| Page paths and form contents | Not normally | Protected by the destination site's TLS session |
Дөрөв дэх мөр бол ихэнх сэтгэлгээний загварт алдагддаг зүйл юм. Орчин үеийн хөтөч сайтын нэрийг ClientHello дотор тавьдаг бөгөөд энэ нь TLS гар барилтын эхний зурвас бөгөөд DNS асуулт бүр төгсгөлөөс төгсгөл хүртэл шифрлэгдсэн ч тухайн талбар гарцад уншигдана. Хэрэв Encrypted Client Hello тохиролцоогүй бол нэр нь очих хаягийн хажууд илээр явдаг. Шифрлэгдсэн DNS нь асуултыг хэн хардагийг өөрчилдөг, нэрийг хэн хардагийг биш.
Хуучин холболтын сертификатуудад ч мөн адил: TLS 1.3 серверийн сертификатыг шифрлэдэг бол TLS 1.2 гар барилт нэрийг урсгалыг бичдэг ажиглагчид ил болгож болно. Хоёулаа тээврийн баримт, нийлүүлэгчийн бодлого биш.
TLS юуг хамардаг, юуг хамардаггүй
Сайт HTTPS санал болгоход таны хөтөч тэр сайтын төгсгөлийн цэгтэй TLS холболт үүсгэдэг, VPN сервертэй биш. Нийлүүлэгч шифрлэгдсэн бичлэгүүдийг цааш дамжуулж очих хаяг, цаг хугацаа, ойролцоогоор хэмжээг мэддэг. ECH ажиллахгүй бол сайтын нэр ClientHello дотор явдаг бөгөөд хуудасны үндсэн хэсэг хоёр тохиолдолд шифрлэгдсэн хэвээр байна. Гэнэтийн үндсэн сертификат энэ хил хязгаарыг өөрчилдөг тул сертификатын анхааруулга хүндлэл хүлээх ёстой.
Энгийн HTTP-д гарцаас цааш ийм хамгаалалт байхгүй. Туннель нийлүүлэгч хүртэлх хэсгийг хамгаалдаг бөгөөд дараа нь хүсэлт VPN-гүй явахтай яг адил явдаг. ECH үүнийг засдаггүй, учир нь энэ нь агуулгыг биш нэрийг хамгаалдаг.
Хадгалалт нь харагдахуйцаас тусдаа асуудал
Оператор холболтын өгөгдлийг санах ойд боловсруулж юу ч хадгалахгүй байж болно, эсвэл нэг хэсгийг хадгалж, түүнийг хөтчийн түүх биш гэж нарийн тодорхойлж болно. Логгүй гэсэн мэдэгдлийг уриа биш, ангиллаар уншаарай: холболтын бүртгэл, цагийн тэмдэг, нийт хэмжээ, очих газрын өгөгдөл, бүртгэлийн танигч, дэмжлэгийн зурвас бүгд тооцогдоно. Нийлүүлэгч шударгаар хөтчийн лог хөтлөхгүй байхын зэрэгцээ бүртгэлийн бичлэг болон үйлчилгээг явуулахад шаардлагатай мета өгөгдлийг хадгалж болно. Харагдахуйц нь эдгээр ангиллын алийг нь хадгалдгийг хэлдэггүй.
Аудит нь систем болон түүний хамрасан хугацааны цонхны талаарх нотолгоо бөгөөд нээлттэй эх кодын клиент код нь серверийг биш, клиентийг тодорхойлдог. Хоёулаа ашигтай бөгөөд аль нь ч гарцын арын бүх хадгалалтын системийг төлөөлөхгүй. Аудитын тэмдгийг биш, хамрах хүрээг нь асуугаарай.
Нийлүүлэгчдийг ялгах асуултууд
Юу хадгалдаг, хэр удаан, хэн авч болохыг асуугаарай. Гарцыг хэн удирддагийг асуугаарай, учир нь лавлахын бүртгэл, апп хөгжүүлэгч, тодорхой сервер ажиллуулдаг хүн гурав өөр тал байж болно. DNS-ийг хэрхэн боловсруулдаг, таны ашигладаг замд ECH дэмжигддэг эсэхийг асуугаарай, учир нь ил текстэн ClientHello DNS асуултгүй ч сайтыг нэрлэдэг. Хууль эрх зүйн хүсэлт ирэхэд юу болохыг асууж, хариуг санаа бус чадварын тодорхойлолт гэж уншаарай.
EFF-ийн VPN сонгох гарын авлага эдгээр асуултад тохирох хяналтын жагсаалт бөгөөд аль ч үйлчилгээний талаарх шийдвэр биш, нэг хүрээ юм. Маркетингийн хуудас нь хадгалалтын бодлого биш. Эдгээрийн аль нь ч VPN-г хэрэггүй болгодоггүй; хэнд итгэх, юунд итгэхээ өөрчилдөг.