VPN-metadata: hva hver observatør fortsatt kan se
Kryptering skjuler innhold, ikke at det finnes en forbindelse. Skill mellom hva aksessnettet, VPN-utgangen, resolvere og destinasjonen observerer, og hva hver av dem beholder.
Kryptering skjuler hva du sendte, ikke at du sendte noe. Størrelser, timing og de ytre adressene forblir tilgjengelige for parter på ulike punkter langs ruten. Hver observatør får en annen skive, og personvernspørsmålet er hva den skiven kan underbygge. Begynn med å navngi hvem som ser, før du bestemmer hva eksponeringen betyr.
Navngi observatøren før påstanden
Fire posisjoner betyr noe i en typisk tunnel: aksessnettet ditt, utgangen til VPN-operatøren, enhver resolver som mottar et navn, og destinasjonen selv. Hver ser en annen kombinasjon av kilde, destinasjon, navn, størrelse og tid. En generell påstand om hva en VPN avslører er nesten alltid en påstand om en av disse posisjonene.
| Observer | Usually visible | Not visible |
|---|---|---|
| Access network | VPN endpoint, volume, timing | Inner destinations |
| VPN exit | Your traffic, destination addresses | Your home address |
| Resolver | The names it resolves | Your full page content |
| Destination | Exit address, request, protocol details | Your physical location |
Hold dem atskilt i analysen. Å slå dem sammen gir påstander som ikke kan testes. En observatørs posisjon avgjør også hva en juridisk forespørsel senere kan få fra dem.
Innhold og destinasjon er forskjellige spørsmål
Kryptering beskytter nyttelasten i en forbindelse, og HTTPS beskytter den igjen i sin egen utveksling. Destinasjonsadresser er imidlertid rutinginformasjon, og utgangen må videresende til dem. DNS-resolvere mottar navnene de svarer på, og synligheten til andre vertsnavn avhenger av protokollen som brukes. Å anta at hver mellommann ser en full URL er like feil som å anta at ingen ser noe.
Konto-ID-er, enhetsetiketter og diagnostiske ID-er lever ofte i administrasjonssystemer i stedet for i pakkefelt. En protokollspesifikasjon beskriver ikke analysen rundt den. En tunnel som skjuler adresser for aksessnettet kan fortsatt eksponere dem for utgangen, så identiske metadata har ulik verdi i ulike hender.
Observerbart er ikke lagret
Et endepunkt kan behandle data for å levere trafikk uten å føre historikk over det. Det kan også beholde diagnostikk, samlede totaler eller poster per konto i en begrenset periode. Dette er ulik atferd med ulike konsekvenser, og ordet anonym skiller dem sjelden. En pakke som passerer en server etterlater ingen automatisk registrering av hvor den gikk.
Spør hva som samles inn, om det knyttes til en konto, hvor lenge det oppbevares og hvem som kan lese det. En total på tvers av alle brukere svarer på et annet spørsmål enn en tidsstemplet post knyttet til én identitet. Den forskjellen er forskjellen mellom en personvernpolicy og en markedssetning.
Skriv ned svaret før du sammenligner leverandører. En muntlig forsikring er ikke en oppbevaringspolicy.
Still konkrete spørsmål om oppbevaring
Skriv spørsmålene ned før du sammenligner produkter. Hvilke hendelser logges, med hvilken detaljgrad, hvor lenge og under hvis kontroll? Aggregeres dataene, samples de, eller slettes de etter en tidsplan? Kan operatøren produsere historikk per konto hvis det blir spurt?
Disse svarene hører hjemme i beslutningsprotokollen. Uten dem er sammenligningen en konkurranse i slagord.
RFC 6973-personvernveiledningen er en nyttig ramme for disse spørsmålene fordi den skiller dataminimering fra oppbevaring og sekundær bruk. En liste som navngir landet til en utgang forteller deg hvor du kobler til. Den sier ingenting om hva den operatøren lagrer.