Hva leverandøren din fortsatt ser når du torrenter gjennom en VPN

Gå gjennom spørsmålene i rekkefølge: hva aksessnettet kan observere, hva som forlater tunnelen uten det, hva navneoppslaget avslører, og hva peers og trackere likevel får vite. Hvert svar er uavhengig av de andre, og en VPN løser bare det første fullt ut. Det fjerde er der de fleste forventningene stille svikter, fordi ingen tunnel fjerner et kontonavn.

Begynn med å avgjøre hvilken observatør som bekymrer deg, fordi svaret endrer seg med observatøren.

Én forbindelse erstatter mange

Når klienten faktisk er inne i tunnelen, ser aksessnettet én vedvarende kryptert forbindelse til én VPN-adresse. Volum, timing og det faktum at en VPN brukes, forblir synlig; trackernes vertsnavn, peer-adresser og filnavn ikke. Det er en reell forbedring, og en smalere enn markedsføringen antyder. Operatøren av tunnelen sitter i midten og ser mer enn aksessnettet.

En erklæring om ingen logger beskriver oppbevaringspolitikk, ikke teknisk synlighet. Det er forskjellige påstander, og bare den første er noe en leverandør kan love.

Lekkasjen kommer fra bindingen, ikke fra tunnelen

BitTorrent lager en strøm av kortlivede TCP- og UDP-forbindelser til peers, trackere, DHT-noder og lokal oppdagelse. Bind klienten til den fysiske adapteren, eller start den på nytt etter at tunnelen har falt, og trafikken som oppstår er nøyaktig det tunnelen fantes for å skjule. Brannmurregler er en svakere kontroll enn de ser ut som: en regel som bare matcher standardruten, bare IPv4 eller bare nye forbindelser, lar veier stå åpne. Å binde klienten til tunnelgrensesnittet og verifisere den bindingen er det sterkere mønsteret.

Verifiser ved å stoppe tunnelen med vilje og se om overføringene stopper. Hvis de fortsetter, var klienten aldri inni. Gjenta etter en omstart av klienten og etter at en laptop våkner, for det er da bindingene vanligvis mistes.

DNS navngir nettstedet uten å røre overføringen

Hvis navneoppslag fortsatt går til den lokale oppløseren, annonserer forespørselen selv nettstedet mens overføringen forblir kryptert. Å flytte oppslaget inn i tunnelen, eller kryptere det, lukker det gapet. Ingen av delene gjør noe for en klient der pakkene forlater tunnelen utenfor. Sjekk hvilken oppløser som brukes og hvilket grensesnitt forespørselen forlater fra; de to kontrollene besvarer forskjellige spørsmål.

Et navn som løses opp gjennom tunnelen, og en overføring som respekterer bindingen, er separate egenskaper, og hver av dem kan svikte alene.

Svermen og trackeren ser forskjellige ting

Adresseutveksling er en del av protokollen, så peers registrerer det de ser. Å koble til fra utgangen gir dem utgangen; å koble til direkte gir hjemadressen. DHT og peer-utveksling sprer den observasjonen videre, og en senere økt uten tunnelen kan knytte samme klientport og versjon sammen. Trackeren kan vite enda mer: en tilgangsnøkkel i announce-URL-en identifiserer kontoen uansett hvilken utgang pakkene kom fra.

Kryptering dekker igjen en annen akse. HTTPS beskytter en forespørsel fra utgangen og utover; vanlig HTTP eksponerer forespørselslinjen for hvert nettverk på veien, og derfor kan den ene protokollen formes mens den andre ikke kan.

Svar på de fire spørsmålene med bevis, ikke med et ikon. Ikonet forteller deg bare at det finnes en tunnel.