VPN-metadata: wat elke waarnemer nog kan zien
Versleuteling verbergt de inhoud, niet het feit van een verbinding. Scheid wat het toegangsnetwerk, de VPN-uitgang, de resolver en de bestemming waarnemen, en wat elk daarvan bewaart.
Versleuteling verbergt wat je hebt verzonden, niet dat je iets hebt verzonden. Groottes, timing en de buitenste adressen blijven beschikbaar voor partijen op verschillende punten langs het pad. Elke waarnemer krijgt een ander plakje, en de privacyvraag is wat dat plakje kan onderbouwen. Begin met te benoemen wie kijkt voordat je beslist wat de blootstelling betekent.
Benoem de waarnemer voor de bewering
Vier posities doen ertoe in een typische tunnel: je toegangsnetwerk, de uitgang van de VPN-operator, elke resolver die een naam ontvangt, en de bestemming zelf. Elk ziet een andere combinatie van bron, bestemming, naam, grootte en tijd. Een algemene bewering over wat een VPN onthult is bijna altijd een bewering over een van die posities.
| Observer | Usually visible | Not visible |
|---|---|---|
| Access network | VPN endpoint, volume, timing | Inner destinations |
| VPN exit | Your traffic, destination addresses | Your home address |
| Resolver | The names it resolves | Your full page content |
| Destination | Exit address, request, protocol details | Your physical location |
Houd ze gescheiden in de analyse. Ze samenvoegen levert beweringen op die niet te toetsen zijn. De positie van een waarnemer bepaalt ook wat een juridisch verzoek later van hem kan krijgen.
Inhoud en bestemming zijn verschillende vragen
Versleuteling beschermt de payload van een verbinding, en HTTPS beschermt die opnieuw in zijn eigen uitwisseling. Bestemmingsadressen zijn echter routeringsinformatie, en de uitgang moet daarheen doorsturen. DNS-resolvers ontvangen de namen die ze beantwoorden, en de zichtbaarheid van andere hostnamen hangt af van het gebruikte protocol. Aannemen dat elke tussenpartij een volledige URL ziet is net zo fout als aannemen dat niemand iets ziet.
Account-ID's, apparaatlabels en diagnostische ID's leven vaak in beheersystemen in plaats van in pakketvelden. Een protocolspecificatie beschrijft niet de analyses eromheen. Een tunnel die adressen voor het toegangsnetwerk verbergt, kan ze nog steeds aan de uitgang blootstellen, dus identieke metadata hebben een verschillende waarde in verschillende handen.
Waarneembaar is niet bewaard
Een eindpunt kan gegevens verwerken om verkeer af te leveren zonder er een geschiedenis van bij te houden. Het kan ook diagnostiek, geaggregeerde totalen of records per account gedurende een beperkte periode bewaren. Dat zijn verschillende gedragingen met verschillende gevolgen, en het woord anoniem onderscheidt ze zelden. Een pakket dat een server passeert laat geen automatische registratie achter van waar het heen ging.
Vraag wat er wordt verzameld, of het aan een account wordt gekoppeld, hoe lang het wordt bewaard en wie het kan lezen. Een totaal over alle gebruikers beantwoordt een andere vraag dan een tijdgestempeld record dat aan één identiteit is gekoppeld. Dat onderscheid is het verschil tussen een privacybeleid en een marketingzin.
Schrijf het antwoord op voordat je aanbieders vergelijkt. Een mondelinge toezegging is geen bewaarbeleid.
Stel concrete vragen over bewaring
Zet de vragen op papier voordat je producten vergelijkt. Welke gebeurtenissen worden gelogd, met welke granulariteit, hoe lang en onder wiens controle? Worden de gegevens geaggregeerd, gesampled of volgens een schema verwijderd? Kan de operator op verzoek een geschiedenis per account produceren?
Die antwoorden horen in het besluitregister. Zonder hen is de vergelijking een wedstrijd in slogans.
De RFC 6973-privacyrichtlijn is een bruikbaar kader voor deze vragen omdat het dataminimalisatie scheidt van bewaring en secundair gebruik. Een lijst die het land van een uitgang noemt, vertelt je waar je verbinding maakt. Hij zegt niets over wat die operator opslaat.