तुमचा VPN पुरवठादार काय पाहू शकतो आणि काय नाही
एक्झिट पत्ते, वेळा आणि Encrypted Client Hello वापरला न गेल्यास TLS हँडशेकमधील साइटचे नाव पाहते। धारणा हा वेगळा प्रश्न आहे।
तुमचा टनेल स्थानिक नेटवर्कला तुमच्या रहदारीबाहेर ठेवतो। पण तो दुसऱ्या टोकावरील कंपनी काढून टाकत नाही, जी प्रत्येक पॅकेट खुल्या इंटरनेटपर्यंत पोहोचण्यापूर्वी प्रक्रिया करते। ही स्थिती एकाच वेळी व्यवसाय मॉडेल आणि गोपनीयतेचा प्रश्न आहे। म्हणून उपयुक्त प्रश्न हा नाही की पुरवठादार तुम्हाला पाहू शकतो का, तर तो हा आहे की तो काय पाहतो, कशाला नाव देऊ शकतो आणि काय ठेवतो।
विश्वास प्रत्यक्षात कुठे सरकतो
एन्क्रिप्शन तुमच्या उपकरणापासून पुरवठादाराच्या सर्व्हरपर्यंत जाते, आणि हा बाहेरील भाग एवढाच तुमचे स्थानिक नेटवर्क कधीही पाहते। पुरवठादार या भागाचे दुसरे टोक धरतो, म्हणून तो टनेल डिक्रिप्ट करतो आणि तुमचे पॅकेट पुढे पाठवतो। त्यात कोणताही दोष नाही; ती तुम्ही खरेदी केलेल्या सेवेची व्याख्या आहे। विश्वास नाहीसा होण्याऐवजी स्थानिक ऑपरेटरकडून एक्झिट ऑपरेटरकडे सरकला।
या स्थितीतून तो तुमचा स्रोत पत्ता, तुम्ही कधी जोडले गेलात, अंदाजे किती हस्तांतरित केले आणि कोणत्या गंतव्यांशी संपर्क केला हे जाणतो। यापैकी कशासाठीही तुमचे संदेश वाचण्याची गरज नाही, आणि श्रेणी वेगळ्या करण्याचा अर्थ तोच आहे। पुरवठादारांमधील मनोरंजक फरक त्या निरीक्षणांचे नंतर काय होते याबद्दल आहेत।
एक्झिटला अनिवार्यपणे काय हाताळावे लागते
एक्झिट किती विश्वासार्हतेने त्या पाहू शकतो यानुसार श्रेणी लावा। कोणत्याही ओळीसाठी एन्क्रिप्शन तोडण्याची गरज नाही, आणि ते अजिबात टाळता येते का यावर प्रत्येकाचे वेगळे उत्तर आहे।
| Category | Visible at the exit | Why |
|---|---|---|
| Your public address | Always | It is the address the tunnel arrives from |
| Connection times and volume | Always | Accounting data, not content |
| Destination IP addresses | Always | The exit has to route the packets |
| HTTPS hostname (SNI) | Normally, unless ECH is used | Sent in the clear in the TLS ClientHello |
| DNS names | Only if DNS is plaintext | DoH or DoT hides the query; plaintext is readable by the forwarder |
| Page paths and form contents | Not normally | Protected by the destination site's TLS session |
चौथी ओळ हीच बहुतेक मानसिक मॉडेल्स चुकवतात। आधुनिक ब्राउझर साइटचे नाव ClientHello मध्ये ठेवतो, जो TLS हँडशेकचा पहिला संदेश आहे, आणि प्रत्येक DNS चौकशी टोकापासून टोकापर्यंत एन्क्रिप्टेड असली तरी ते क्षेत्र एक्झिटवर वाचता येते। Encrypted Client Hello वर सहमती झाली नाही तर नाव गंतव्य पत्त्याच्या शेजारी उघडपणे प्रवास करते। एन्क्रिप्टेड DNS बदलते ते कोण चौकशी पाहते हे, नाव कोण पाहते हे नाही।
जुन्या कनेक्शनवरील प्रमाणपत्रांनाही हेच लागू आहे: TLS 1.3 सर्व्हर प्रमाणपत्र एन्क्रिप्ट करते, तर TLS 1.2 हँडशेक स्ट्रीम रेकॉर्ड करणाऱ्या निरीक्षकाला नाव उघड करू शकतो। दोन्ही वाहतुकीची तथ्ये आहेत, पुरवठादाराचे धोरण नाही।
TLS काय झाकते आणि काय नाही
साइट HTTPS देते तेव्हा तुमचा ब्राउझर त्या साइटच्या एंडपॉइंटशी TLS कनेक्शन बांधतो, VPN सर्व्हरशी नाही। पुरवठादार एन्क्रिप्टेड रेकॉर्ड पुढे पाठवतो आणि गंतव्य पत्ता, वेळ आणि अंदाजे आकार जाणतो। ECH कार्यान्वित नसल्यास साइटचे नाव ClientHello मध्ये जाते, आणि पानाचा मुख्य भाग दोन्ही स्थितीत एन्क्रिप्टेड राहतो। अनपेक्षित रूट प्रमाणपत्र ही सीमा बदलते, म्हणून प्रमाणपत्र इशारे आदराला पात्र आहेत।
साध्या HTTP मध्ये एक्झिटनंतर असे कोणतेही संरक्षण नाही। टनेल पुरवठादारापर्यंतचा भाग संरक्षित करतो, आणि त्यानंतर विनंती VPN शिवाय जात असल्याप्रमाणेच नेमकी जाते। ECH ते सुधारत नाही, कारण तो नावाचे संरक्षण करतो, सामग्रीचे नाही।
धारणा दृश्यमानतेपेक्षा वेगळा प्रश्न आहे
ऑपरेटर कनेक्शन डेटा मेमरीत प्रक्रिया करून काहीही ठेवू शकत नाही, किंवा एक उपसंच ठेवून तो ब्राउझिंग इतिहास नाही असे अचूक वर्णन करू शकतो। नो-लॉग दावा घोषणेऐवजी श्रेणीनुसार वाचा: कनेक्शन नोंदी, टाइमस्टॅम्प, एकूण प्रमाण, गंतव्य डेटा, खाते ओळखकर्ते आणि सहाय्य संदेश सर्व मोजले जातात। पुरवठादार प्रामाणिकपणे कोणतेही ब्राउझिंग लॉग न ठेवता खात्याची नोंद आणि सेवा चालवण्यासाठी लागणारा मेटाडेटा ठेवू शकतो। यापैकी कोणती श्रेणी साठवली जाते हे दृश्यमानता सांगत नाही।
ऑडिट हा प्रणाली आणि त्याने व्यापलेल्या कालावधीबद्दलचा पुरावा आहे, आणि मुक्त स्रोत क्लायंट कोड सर्व्हरचे नाही, क्लायंटचे वर्णन करतो। दोन्ही उपयुक्त आहेत, आणि कोणतेही एक्झिटमागील प्रत्येक साठवण प्रणालीच्या वतीने बोलत नाही। ऑडिटचा बॅज नाही, त्याची व्याप्ती विचारा।
पुरवठादार वेगळे करणारे प्रश्न
काय ठेवले जाते, किती काळ आणि कोण घेऊ शकतो असे विचारा। एक्झिट कोण चालवतो असे विचारा, कारण डिरेक्टरी नोंद, ॲप विकसक आणि विशिष्ट सर्व्हर चालवणारी व्यक्ती तीन वेगळे पक्ष असू शकतात। DNS कसे हाताळले जाते आणि तुम्ही वापरता त्या मार्गांवर ECH समर्थित आहे का असे विचारा, कारण साध्या मजकुरातील ClientHello DNS चौकशीशिवायही साइटचे नाव सांगते। कायदेशीर विनंतीवर काय होते असे विचारा, आणि उत्तर हेतूचे नाही, क्षमतेचे वर्णन म्हणून वाचा।
EFF ची VPN निवडण्याची मार्गदर्शिका या प्रश्नांसाठी योग्य तपासणी सूची आहे, आणि ती कोणत्याही सेवेबद्दलचा निर्णय नाही, एक चौकट आहे। मार्केटिंग पृष्ठ धारणा धोरण नाही। यापैकी काहीही VPN निरुपयोगी करत नाही; तुम्हाला कोणावर विश्वास ठेवायचा आणि का, हे बदलते।