Kan en VPN-operatør se hvilke nettsteder du besøker?

Spør hva VPN-en kan se, og svaret avhenger av hvor du står i løypen. På øktlaget har operatøren autentiseringshendelser og byttetall. På pakkelaget har den destinasjonsadresser og tidspunkt. På DNS-laget kan den ha selve navnene. Hvert lag svarer på et annet spørsmål, og ingen enkelt bryter flytter deg mellom dem.

Bestem laget før du hevder noe

Samme tilkobling gir ulike registreringer på hvert punkt, og en uttalelse om personvern er bare meningsfull når den navngir punktet. Les tabellen kolonne for kolonne: hva som finnes på det laget, hva en operatør kan se der, og hva de samme registreringene fortsatt ikke kan fortelle.

Å lese ett lag som hele bildet er starten på både overdrivelser og falsk trygghet. En leverandør som sier at den ikke logger nettlesing, kan være korrekt om URL-logging og likevel beholde øktregistreringer, og et pakkeopptak som bare viser adresser blir ikke en nettleserhistorikk uten omvendte oppslag og gjetting.

Når du vurderer en policy, finn setningen som beskriver hvert lag. Hvis policyen ikke skiller dem, spør hvilke registreringer som finnes i stedet for å godta en generell uttalelse om kryptering.

Øktoversikt: hva en vanlig OpenVPN-server beholder

Som standard fanger ikke en OpenVPN-server trafikken. Vanlig utdata er en øktoversikt: kontoen som autentiserte seg, kildeadressen den kom fra, tidsstempler for start og slutt, tunneladressen som ble tildelt, og byttetotalene i hver retning. Det er en oversikt over økter, ikke en liste over destinasjoner.

Loggvalg kan legge til detaljer. Et høyere detaljnivå skriver mer om håndtrykket, og en statusfil kan liste tilkoblede klienter, men ingen av dem gjør serveren om til en gjennomsiktig proxy. Å produsere URL-er krever å avslutte TLS eller kjøre en eksplisitt proxy, og begge endrer tillitsforholdet i stedet for å slå på en skjult funksjon.

Derfor er den korrekte versjonen av påstanden om ingen nettleserlogg smalere enn den høres ut. Serveren kjenner ikke siden, men den vet at en økt fantes og omtrent hvor mye data som gikk gjennom den. Om den øktregistreringen beholdes, og hvor lenge, er et eget policyspørsmål.

Indre og ytre pakker er forskjellige bevis

Et pakkeopptak er måten å se hva som faktisk går gjennom tunnelen. På serveren navngi tunellgrensesnittet og skriv til en fil som kan analyseres offline:

sudo tcpdump -ni tun0 -w /tmp/tun.pcap
sudo tcpdump -r /tmp/tun.pcap -nn | head

Den filen inneholder dekryptert indre trafikk: klientens tunneladresse som kilde, destinasjonsadresse og port, pakkestørrelser og tidspunkt. Den inneholder ikke HTTP-banen eller svarteksten med mindre TLS ble avsluttet et sted, og det er sensitive data der oppbevaring er en policybeslutning og ikke en feilsøkingsbekvemmelighet.

Et opptak på det fysiske grensesnittet viser noe annet. Der ser du ytre pakker adressert til VPN-endepunktet, med den krypterte nyttelasten inni. Urelaterte adresser i den filen er normale når det finnes en virtuell adapter, fordi tunnelenheten bærer de indre strømmene mens den krypterte transporten bærer de ytre.

Spør hvilket spørsmål opptaket skal svare på. En applikasjons bruk av tunnelen er synlig på den virtuelle adapteren; tunnelens nåbarhet til endepunktet er synlig på den fysiske. Å bruke en av filene som hele bildet gir konklusjoner dataene ikke kan bære.

DNS er stedet der navn blir synlige

DNS forblir det praktiske unntaket. Resolveren ser navnene den blir bedt om å slå opp, så den som driver den lærer hvilke nettsteder en klient søker etter, selv når de senere tilkoblingene er krypterte. Et tunnelopptak viser adresser; resolveren viser navn.

Sjekk hvilken adresse resolveren brukte for å nå en ekstern tjeneste. Svaret er resolverens utgangsadresse, og sammenligning med VPN-utgangen forteller om spørringen gikk gjennom tunnelen:

dig +short myip.opendns.com @resolver1.opendns.com
dig example.com
sudo tcpdump -ni any udp port 53

Hvis den adressen samsvarer med den lokale tilkoblingen og ikke med tunnelutgangen, gikk oppslaget utenom VPN-en og navnet var synlig på den lokale veien. Gjenta sjekken etter en klientoppdatering, fordi en ny versjon kan endre hvilken resolver profilen installerer.

Kryptert DNS flytter synligheten i stedet for å fjerne den. Nettverket ser ikke lenger spørringen, men resolveren gjør det fortsatt, og tillitsspørsmålet skifter bare hender. TLS-servernavnet i tilkoblingens håndtrykk er et annet delvis signal: det overlever ofte selv når nyttelasten er ugjennomsiktig, så destinasjonsadresser er ikke de eneste metadataene en videresendende server kan observere.

Tre typer registreringer og hvem som kan lese dem

Øktregnskap, registreringer per navn og lekksbevis er tre forskjellige produkter med tre forskjellige forpliktelser. Øktlogger er billige og lite sensitive, og de svarer på hvem som koblet til og når. Registreringer per navn krever en loggende resolver eller en eksplisitt proxy, og de skaper en opplysningsplikt overfor de berørte. Lekksbevis er en test på klientsiden som sammenligner det resolveren avslører med tunnelutgangen.

Skriv ned hvilken av de tre du driver, hvem som kan lese den og hvor lenge den blir. Uttalelser om at en tjeneste ikke fører logger beskriver ett lag, og de er bare sanne innenfor det omfanget. Samme leverandør kan være korrekt om økter og feil om DNS.

Hold testen reproduserbar: samme resolverspørring, samme opptaksgrensesnitt og samme sammenligning. En personvernpåstand som ikke kan testes på et navngitt lag er et slagord, ikke et operativt faktum.