Apa yang boleh dan tidak boleh dilihat oleh penyedia VPN anda
Pintu keluar melihat alamat, masa dan, melainkan Encrypted Client Hello digunakan, nama laman dalam jabat tangan TLS. Penyimpanan ialah soalan berasingan.
Terowong anda menjauhkan rangkaian tempatan daripada trafik anda. Namun ia tidak menghapuskan syarikat di hujung sana, yang memproses setiap paket sebelum ia sampai ke internet terbuka. Kedudukan itu ialah model perniagaan dan juga persoalan privasi. Jadi soalan yang berguna bukanlah sama ada penyedia boleh melihat anda, tetapi apa yang dilihatnya, apa yang boleh dinamakannya dan apa yang disimpannya.
Ke mana kepercayaan sebenarnya berpindah
Penyulitan berjalan dari peranti anda ke pelayan penyedia, dan bahagian luar itulah segala yang pernah dilihat oleh rangkaian tempatan anda. Penyedia memegang hujung lain bahagian itu, jadi ia menyahsulit terowong dan meneruskan paket anda. Tiada kecacatan dalam hal itu; itulah takrif perkhidmatan yang anda beli. Kepercayaan berpindah daripada pengendali tempatan kepada pengendali pintu keluar, bukan hilang.
Dari kedudukan itu ia mengetahui alamat sumber anda, bila anda bersambung, kira-kira berapa banyak yang anda pindahkan dan destinasi mana yang anda hubungi. Tiada satu pun memerlukan pembacaan mesej anda, dan itulah tujuan pemisahan kategori. Perbezaan menarik antara penyedia menyentuh apa yang berlaku kepada pemerhatian itu selepasnya.
Apa yang ditangani pintu keluar secara wajib
Susun kategori mengikut seberapa andal pintu keluar dapat melihatnya. Tiada baris yang memerlukan pemecahan penyulitan, dan setiap satunya mempunyai jawapan berbeza tentang sama ada ia boleh dielakkan sama sekali.
| Category | Visible at the exit | Why |
|---|---|---|
| Your public address | Always | It is the address the tunnel arrives from |
| Connection times and volume | Always | Accounting data, not content |
| Destination IP addresses | Always | The exit has to route the packets |
| HTTPS hostname (SNI) | Normally, unless ECH is used | Sent in the clear in the TLS ClientHello |
| DNS names | Only if DNS is plaintext | DoH or DoT hides the query; plaintext is readable by the forwarder |
| Page paths and form contents | Not normally | Protected by the destination site's TLS session |
Baris keempat ialah apa yang terlepas daripada kebanyakan model mental. Pelayar moden meletakkan nama laman dalam ClientHello, mesej pertama jabat tangan TLS, dan medan itu boleh dibaca di pintu keluar walaupun setiap pertanyaan DNS disulitkan hujung ke hujung. Melainkan Encrypted Client Hello dirundingkan, nama itu bergerak secara terbuka di sebelah alamat destinasi. DNS yang disulitkan mengubah siapa yang melihat pertanyaan, bukan siapa yang melihat nama.
Perkara sama berlaku pada sijil dalam sambungan lama: TLS 1.3 menyulitkan sijil pelayan, manakala jabat tangan TLS 1.2 boleh mendedahkan nama kepada pemerhati yang merakam aliran. Kedua-duanya fakta pengangkutan, bukan dasar penyedia.
Apa yang diliputi TLS dan apa yang tidak
Apabila laman menyediakan HTTPS, pelayar anda membina sambungan TLS ke titik akhir laman itu, bukan ke pelayan VPN. Penyedia meneruskan rekod tersulit dan mengetahui alamat destinasi, masa dan saiz anggaran. Nama laman ikut dalam ClientHello melainkan ECH berperanan, dan badan halaman kekal tersulit dalam kedua-dua kes. Sijil akar yang tidak dijangka mengubah sempadan itu, sebab itu amaran sijil wajar dihormati.
HTTP biasa tidak mempunyai perlindungan sedemikian selepas pintu keluar. Terowong melindungi bahagian ke penyedia, dan selepas itu permintaan bergerak tepat seperti ia bergerak tanpa VPN. ECH tidak membaikinya, kerana ia melindungi nama, bukan kandungan.
Penyimpanan ialah soalan berbeza daripada keterlihatan
Pengendali boleh memproses data sambungan dalam memori dan tidak menyimpan apa-apa, atau menyimpan subset dan menerangkannya dengan tepat sebagai bukan sejarah pelayaran. Baca dakwaan tanpa-log mengikut kategori, bukan mengikut slogan: rekod sambungan, cap masa, jumlah isipadu, data destinasi, pengecam akaun dan mesej sokongan semuanya dikira. Penyedia boleh dengan jujur tidak menyimpan log pelayaran sambil menyimpan rekod akaun dan metadata yang diperlukan untuk menjalankan perkhidmatan. Keterlihatan tidak memberitahu anda kategori mana yang disimpan.
Audit ialah bukti tentang sistem dan tempoh yang diliputinya, dan kod klien sumber terbuka menerangkan klien, bukan pelayan. Kedua-duanya berguna, dan tidak satu pun bercakap bagi setiap sistem storan di belakang pintu keluar. Tanyakan skop audit, bukan lencananya.
Soalan yang memisahkan penyedia
Tanyakan apa yang disimpan, berapa lama dan siapa yang boleh mengambilnya. Tanyakan siapa mengendalikan pintu keluar, kerana penyenaraian direktori, pembangun aplikasi dan orang yang menjalankan pelayan tertentu boleh menjadi tiga pihak berbeza. Tanyakan bagaimana DNS dikendalikan dan sama ada ECH disokong pada laluan yang anda gunakan, kerana ClientHello teks biasa menamakan laman walaupun tanpa pertanyaan DNS. Tanyakan apa yang berlaku pada permintaan undang-undang, dan baca jawapannya sebagai huraian keupayaan, bukan niat.
Panduan EFF untuk memilih VPN ialah senarai semak yang wajar untuk soalan itu, dan ia rangka kerja, bukan keputusan tentang mana-mana perkhidmatan. Halaman pemasaran bukan dasar penyimpanan. Tiada satu pun daripada ini menjadikan VPN tidak berguna; ia mengubah siapa yang perlu anda percayai, dan untuk apa.