Bolehkah pengendali VPN melihat laman yang anda lawati?

Tanya apa yang boleh dilihat VPN dan jawapannya bergantung pada di mana anda berdiri dalam laluan itu. Pada lapisan sesi pengendali mempunyai peristiwa pengesahan dan kiraan bait. Pada lapisan paket ia mempunyai alamat destinasi dan masa. Pada lapisan DNS ia mungkin mempunyai nama itu sendiri. Setiap lapisan menjawab soalan berbeza, dan tiada satu suis yang memindahkan anda antaranya.

Tentukan lapisan sebelum membuat dakwaan

Sambungan yang sama menghasilkan rekod berbeza pada setiap titik, dan kenyataan tentang privasi hanya bermakna apabila ia menyebut titik itu. Baca jadual lajur demi lajur: apa yang wujud pada lapisan itu, apa yang boleh dilihat pengendali di sana, dan apa yang masih tidak dapat diberitahu oleh rekod yang sama.

Membaca satu lapisan sebagai gambaran penuh ialah permulaan kedua-dua dakwaan berlebihan dan rasa selamat yang palsu. Pembekal yang berkata ia tidak merekod pelayaran mungkin tepat tentang rakaman URL namun masih menyimpan rekod sesi, dan tangkapan paket yang hanya menunjukkan alamat tidak menjadi sejarah pelayaran tanpa carian songsang dan andaian.

Apabila menilai dasar, cari ayat yang menerangkan setiap lapisan. Jika dasar tidak memisahkannya, tanya rekod apa yang wujud daripada menerima kenyataan umum tentang penyulitan.

Inventori sesi: apa yang disimpan pelayan OpenVPN biasa

Secara lalai, pelayan OpenVPN tidak merakam trafik. Output biasa ialah inventori sesi: akaun yang disahkan, alamat sumber asalnya, cap masa mula dan tamat, alamat terowong yang diberikan dan jumlah bait dalam kedua-dua arah. Itu inventori sesi, bukan senarai destinasi.

Pilihan rakaman boleh menambah butiran. Tahap keceluparan yang lebih tinggi menulis lebih banyak tentang genggaman tangan, dan fail status boleh menyenaraikan klien yang bersambung, tetapi kedua-duanya tidak menjadikan pelayan sebagai proksi lutsinar. Menghasilkan URL memerlukan penamatan TLS atau proksi eksplisit, dan kedua-duanya mengubah susunan kepercayaan dan bukan menghidupkan ciri tersembunyi.

Sebab itu versi tepat bagi dakwaan tiada log pelayaran lebih sempit daripada bunyinya. Pelayan tidak tahu halamannya, tetapi ia tahu satu sesi wujud dan kira-kira berapa banyak data melaluinya. Sama ada rekod sesi itu disimpan, dan berapa lama, ialah soalan dasar yang berasingan.

Paket dalam dan luar ialah bukti yang berbeza

Tangkapan paket ialah cara melihat apa yang sebenarnya melintasi terowong. Pada pelayan, namakan antara muka terowong dan tulis ke fail yang boleh dianalisis di luar talian:

sudo tcpdump -ni tun0 -w /tmp/tun.pcap
sudo tcpdump -r /tmp/tun.pcap -nn | head

Fail itu mengandungi trafik dalam yang dinyahsulit: alamat terowong klien sebagai sumber, alamat destinasi dan port, saiz paket dan masa. Ia tidak mengandungi laluan HTTP atau badan respons melainkan TLS ditamatkan di suatu tempat, dan ia data sensitif yang penyimpanannya ialah keputusan dasar dan bukan kemudahan nyahpepijat.

Tangkapan pada antara muka fizikal menunjukkan sesuatu yang lain. Di sana anda melihat paket luar yang dialamatkan ke titik akhir VPN, dengan muatan tersulit di dalamnya. Alamat tidak berkaitan yang muncul dalam fail itu adalah normal apabila adapter maya wujud, kerana peranti terowong membawa aliran dalam manakala pengangkutan tersulit membawa yang luar.

Tanya soalan apa yang hendak dijawab oleh tangkapan itu. Penggunaan terowong oleh aplikasi kelihatan pada adapter maya; kebolehcapaian terowong ke titik akhir kelihatan pada adapter fizikal. Menggunakan mana-mana fail sebagai gambaran penuh menghasilkan kesimpulan yang tidak disokong data.

DNS ialah tempat nama menjadi kelihatan

DNS kekal sebagai pengecualian praktikal. Penyelesai melihat nama yang diminta diselesaikan, jadi sesiapa yang mengendalikannya mengetahui laman apa yang dicari klien walaupun sambungan kemudian disulitkan. Tangkapan terowong menunjukkan alamat; penyelesai menunjukkan nama.

Periksa alamat mana yang digunakan penyelesai untuk mencapai perkhidmatan luar. Jawapannya ialah alamat keluar penyelesai, dan membandingkannya dengan pintu keluar VPN memberitahu sama ada pertanyaan itu melalui terowong:

dig +short myip.opendns.com @resolver1.opendns.com
dig example.com
sudo tcpdump -ni any udp port 53

Jika alamat itu sepadan dengan sambungan tempatan dan bukan pintu keluar terowong, carian itu memintas VPN dan nama itu kelihatan pada laluan tempatan. Ulangi semakan selepas kemas kini klien, kerana versi baharu boleh mengubah penyelesai yang dipasang oleh profil.

DNS tersulit memindahkan keterlihatan dan bukan menghapuskannya. Rangkaian tidak lagi melihat pertanyaan, tetapi penyelesai masih melihatnya, dan soal kepercayaan hanya bertukar tangan. Nama pelayan TLS dalam genggaman tangan sambungan ialah isyarat separa yang lain: ia sering kekal walaupun muatan legap, jadi alamat destinasi bukan satu-satunya metadata yang boleh diperhatikan oleh pelayan pemajuan.

Tiga jenis rekod dan siapa yang boleh membacanya

Perakaunan sesi, rekod mengikut nama dan bukti kebocoran ialah tiga produk berbeza dengan tiga kewajipan berbeza. Log sesi murah dan rendah sensitiviti, dan menjawab siapa bersambung dan bila. Rekod mengikut nama memerlukan penyelesai yang merekod atau proksi eksplisit, dan mencipta kewajipan pendedahan kepada orang yang terjejas. Bukti kebocoran ialah ujian sebelah klien yang membandingkan apa yang didedahkan penyelesai dengan pintu keluar terowong.

Catat yang mana antara ketiga-tiganya yang anda jalankan, siapa yang boleh membacanya dan berapa lama ia kekal. Kenyataan bahawa perkhidmatan tidak menyimpan log menerangkan satu lapisan, dan kekal benar hanya dalam lingkungan itu. Pembekal yang sama boleh tepat tentang sesi tetapi silap tentang DNS.

Kekalkan ujian boleh diulang: pertanyaan penyelesai yang sama, antara muka tangkapan yang sama dan perbandingan yang sama. Dakwaan privasi yang tidak boleh diuji pada lapisan yang dinamakan ialah slogan, bukan fakta operasi.