Hva VPN-leverandøren din kan se, og hva den ikke kan se
Utgangen ser adresser, tidspunkter og, med mindre Encrypted Client Hello brukes, nettstedsnavnet i TLS-håndtrykket. Lagring er et eget spørsmål.
Tunnelen din holder det lokale nettverket utenfor trafikken din. Den fjerner likevel ikke selskapet i andre enden, som behandler hver pakke før den når det åpne internettet. Den posisjonen er både forretningsmodellen og personvernspørsmålet. Det nyttige spørsmålet er derfor ikke om leverandøren kan se deg, men hva den ser, hva den kan navngi og hva den beholder.
Hvor tilliten faktisk flytter seg
Krypteringen går fra enheten din til leverandørens server, og den ytre delen er alt det lokale nettverket ditt noen gang ser. Leverandøren holder den andre enden av delen, så den dekrypterer tunnelen og videresender pakkene dine. Det er ingen feil i det; det er definisjonen på tjenesten du kjøpte. Tilliten flyttet seg fra den lokale operatøren til operatøren av utgangen i stedet for å forsvinne.
Fra den posisjonen lærer den kildeadressen din, når du koblet til, omtrent hvor mye du overførte og hvilke destinasjoner du kontaktet. Ingenting av dette krever å lese meldingene dine, og det er poenget med å skille kategoriene. De interessante forskjellene mellom leverandører handler om hva som skjer med disse observasjonene etterpå.
Hva utgangen håndterer av nødvendighet
Sorter kategoriene etter hvor pålitelig utgangen kan se dem. Ingen av radene krever å bryte kryptering, og hver har et ulikt svar på om den i det hele tatt kan unngås.
| Category | Visible at the exit | Why |
|---|---|---|
| Your public address | Always | It is the address the tunnel arrives from |
| Connection times and volume | Always | Accounting data, not content |
| Destination IP addresses | Always | The exit has to route the packets |
| HTTPS hostname (SNI) | Normally, unless ECH is used | Sent in the clear in the TLS ClientHello |
| DNS names | Only if DNS is plaintext | DoH or DoT hides the query; plaintext is readable by the forwarder |
| Page paths and form contents | Not normally | Protected by the destination site's TLS session |
Den fjerde raden er det de fleste mentale modeller overser. En moderne nettleser setter nettstedsnavnet i ClientHello, den første meldingen i TLS-håndtrykket, og feltet er lesbart ved utgangen selv når hver DNS-spørring er kryptert ende til ende. Med mindre Encrypted Client Hello forhandles, reiser navnet i klartekst ved siden av destinasjonsadressen. Kryptert DNS endrer hvem som ser spørringen, ikke hvem som ser navnet.
Det samme gjelder sertifikater på eldre tilkoblinger: TLS 1.3 krypterer serverens sertifikat, mens et TLS 1.2-håndtrykk kan avsløre navnet for en observatør som tar opp strømmen. Begge er transportfakta, ikke leverandørpolitikk.
Hva TLS dekker, og hva det ikke dekker
Når et nettsted leverer HTTPS, bygger nettleseren din en TLS-tilkobling til nettstedets endepunkt, ikke til VPN-serveren. Leverandøren videresender krypterte poster og får vite destinasjonsadressen, tidspunktet og de omtrentlige størrelsene. Nettstedsnavnet følger med i ClientHello med mindre ECH er i spill, og sidekroppen forblir kryptert i begge tilfeller. Et uventet rotsertifikat endrer denne grensen, og derfor fortjener sertifikatadvarsler respekt.
Vanlig HTTP har ingen slik beskyttelse etter utgangen. Tunnelen beskytter delen til leverandøren, og deretter reiser forespørselen nøyaktig som den ville ha gjort uten VPN. ECH reparerer ikke det, fordi det beskytter navnet og ikke innholdet.
Lagring er et annet spørsmål enn synlighet
En operatør kan behandle tilkoblingsdata i minnet og ikke beholde noe, eller beholde et utvalg og beskrive det nøyaktig som ikke nettleserhistorikk. Les en null-logg-påstand etter kategori og ikke etter slagord: tilkoblingsposter, tidsstempler, volumer, destinasjonsdata, kontoidentifikatorer og støttemeldinger teller alle. En leverandør kan ærlig ikke føre nettleserlogger og samtidig oppbevare kontoposten og metadataene som trengs for å drive tjenesten. Synlighet forteller deg ikke hvilken av disse kategoriene som lagres.
En revisjon er bevis om systemene og tidsvinduet den dekket, og åpen klientkode beskriver klienten og ikke serverne. Begge er nyttige, og ingen av dem taler for hvert lagringssystem bak utgangen. Spør om omfanget av en revisjon, ikke om merket.
Spørsmål som skiller leverandører
Spør hva som lagres, hvor lenge og hvem som kan hente det. Spør hvem som driver utgangen, fordi en katalogoppføring, en apputvikler og personen som driver en bestemt server kan være tre forskjellige parter. Spør hvordan DNS håndteres og om ECH støttes på rutene du bruker, siden et ClientHello i klartekst navngir nettstedet selv uten en DNS-spørring. Spør hva som skjer ved en juridisk forespørsel, og les svaret som en beskrivelse av evne og ikke hensikt.
EFFs guide til å velge en VPN er en rimelig sjekkliste for de spørsmålene, og den er et rammeverk og ikke en dom over noen tjeneste. En markedsføringsside er ikke en lagringspolicy. Ingenting av dette gjør en VPN ubrukelig; det endrer hvem du må stole på, og hvorfor.