Wat je provider nog steeds ziet als je via een VPN torrent

Loop de vragen op volgorde na: wat het toegangsnetwerk kan waarnemen, wat zonder dat de tunnel verlaat, wat de naamopzoeking onthult, en wat peers en trackers alsnog leren. Elk antwoord staat los van de andere, en een VPN lost alleen het eerste volledig op. Het vierde is waar de meeste verwachtingen stilzwijgend stuklopen, omdat geen tunnel een accountnaam wegneemt.

Begin met te bepalen welke waarnemer je zorgen baart, want het antwoord verandert met de waarnemer.

Eén verbinding vervangt vele

Als de client echt in de tunnel zit, ziet het toegangsnetwerk één aanhoudende versleutelde verbinding naar één VPN-adres. Volume, timing en het feit dat een VPN wordt gebruikt, blijven zichtbaar; hostnamen van trackers, peer-adressen en bestandsnamen niet. Dat is een echte verbetering, en een smallere dan de marketing suggereert. De exploitant van de tunnel zit in het midden en ziet meer dan het toegangsnetwerk.

Een verklaring zonder logs beschrijft bewaarbeleid, niet technische zichtbaarheid. Dat zijn verschillende beweringen, en alleen de eerste is iets wat een provider kan beloven.

Het lek komt van de binding, niet van de tunnel

BitTorrent maakt een stroom kortlevende TCP- en UDP-verbindingen naar peers, trackers, DHT-knooppunten en lokale ontdekking. Bind de client aan de fysieke adapter, of herstart hem zodra de tunnel is weggevallen, en het resulterende verkeer is precies wat de tunnel bestond om te verbergen. Firewallregels zijn een zwakkere controle dan ze lijken: een regel die alleen de standaardroute, alleen IPv4 of alleen nieuwe verbindingen raakt, laat paden open. De client aan de tunnelinterface binden en die binding verifiëren is het sterkere patroon.

Verifieer door de tunnel expres te stoppen en te kijken of overdrachten stoppen. Gaan ze door, dan zat de client er nooit in. Herhaal na een herstart van de client en na het ontwaken van een laptop, want dan gaan bindingen meestal verloren.

DNS noemt de site zonder de overdracht aan te raken

Gaan naamopzoekingen nog naar de lokale resolver, dan kondigt de query zelf de site aan terwijl de overdracht versleuteld blijft. De resolutie de tunnel in verplaatsen, of haar versleutelen, dicht dat gat. Geen van beide doet iets voor een client wiens pakketten buiten de tunnel vertrekken. Controleer welke resolver wordt gebruikt en via welke interface de query vertrekt; de twee controles beantwoorden verschillende vragen.

Een naam die via de tunnel wordt opgelost en een overdracht die de binding respecteert, zijn afzonderlijke eigenschappen, en elk kan op zichzelf falen.

De zwerm en de tracker zien verschillende dingen

Adresuitwisseling hoort bij het protocol, dus peers registreren wat ze zien. Verbinden vanaf de uitgang geeft hun de uitgang; direct verbinden geeft het thuisadres. DHT en peer-uitwisseling verspreiden die waarneming verder, en een latere sessie zonder de tunnel kan dezelfde clientpoort en versie koppelen. De tracker kan nog meer weten: een passkey in de announce-URL identificeert het account ongeacht via welke uitgang de pakketten kwamen.

Versleuteling dekt weer een andere as. HTTPS beschermt een verzoek vanaf de uitgang; gewone HTTP legt de verzoekregel bloot aan elk netwerk op de route, en daarom kan het ene protocol worden gevormd en het andere niet.

Beantwoord de vier vragen met bewijs, niet met een pictogram. Het pictogram vertelt je alleen dat er een tunnel is.