Wie kan je VPN-verkeer zien? Vier waarnemers
Het lokale netwerk, de VPN-aanbieder, de werkgever en de bestemming zien elk een ander deel. Vergelijk ze voordat je een tunnel voor privacy vertrouwt.
Een tunnel verandert waar je verkeer waarneembaar wordt. Hij maakt het niet onwaarneembaar, en de partij die zichtbaarheid krijgt is degene waar je het verkeer doorheen hebt gestuurd. Of die ruil de moeite waard is, hangt af van welke hop je niet vertrouwt, dus de nuttige vergelijking is tussen de waarnemers en niet tussen merken.
Vier partijen zitten op één verbinding
Volg een verzoek vanaf de laptop naar buiten en er verschijnen vier posities: het toegangsnetwerk waar je lid van bent, de VPN-uitgang, de bedrijfsomgeving als het apparaat wordt beheerd, en de bestemming zelf. Elk neemt een andere plaats in het pad in, dus elk verzamelt een ander soort bewijs. De tabel is het hele argument in één oogopslag.
| Observer | Sees | Does not see |
|---|---|---|
| Local network and ISP | That a tunnel exists, its endpoint, volume and timing | Destinations carried inside the tunnel |
| VPN operator | Source address, destinations, unencrypted content | Content protected end to end by TLS |
| Managed employer | Device telemetry, DNS and proxy logs, policy decisions | Nothing about the device is hidden from its owner |
| Destination | Exit address, account, cookies, client fingerprint | Who is behind the exit address |
Lees de tabel van de dreiging naar buiten. Als de café-wifi de zorg is, is de eerste rij wat verandert; als de provider de zorg is, heb je de ene aanbieder voor de andere geruild en de tweede rij telt nu zwaarder. De rijen concurreren niet; elk beschrijft een andere positie op hetzelfde pad.
Het toegangsnetwerk ziet de tunnel nog steeds
Je provider of het hotelnetwerk ziet een verbinding naar een IP-adres, de overgedragen bytes en de tijden waarop ze bewogen. Het ziet de sites in de tunnel niet, mits naamresolutie ook in de tunnel reist en de bestemming via de uitgang wordt bereikt en niet rechtstreeks.
Twee lekken overleven vaker dan mensen verwachten. DNS-query's naar de lokale resolver noemen de sites nog steeds, en de servernaam in een gewone TLS-handshake is op het pad leesbaar tenzij versleutelde client hello wordt gebruikt. Geen van beide wordt opgelost door een client te installeren; beide zijn configuratievragen.
De VPN-aanbieder, en de werkgever erachter
Een commerciële aanbieder staat precies waar je provider stond: hij stuurt je pakketten door en kan alles lezen wat niet apart is versleuteld. Een wachtwoord dat in een gewoon HTTP-formulier wordt getypt, is bij de uitgang leesbaar ook al was de eerste hop versleuteld. De tunnel verplaatste het vertrouwen, hij verwijderde de blootstelling niet. Lees het logbeleid van de aanbieder voordat je aanneemt dat de ruil iets heeft verbeterd.
Op een beheerde werklaptop bezit de organisatie het eindpunt, dus apparaatbeheer, DNS-logging en proxygegevens observeren het of er nu een tunnel verbonden is of niet. Een persoonlijke VPN maakt een beheerd apparaat niet privé, en op veel netwerken is het een beleidsschending in plaats van een privacymaatregel.
Verkeer van andere apparaten in je huis is niet zichtbaar voor die werkgever, tenzij de werklaptop bewust als hun gateway fungeert. Dat onderscheid is belangrijk wanneer een huishouden één verbinding deelt en het ergste aanneemt.
De bestemming, en de buren bij de uitgang
De site die je bezoekt ziet het uitgangsadres, het account waarmee je bent ingelogd, cookies en browserkenmerken. Een tunnel verandert alleen het eerste item, en inloggen koppelt het uitgangsadres hoe dan ook aan jou.
Gedeelde diensten voegen een subtieler risico toe. Als de aanbieder klanten niet van elkaar isoleert, kan een machine die op een poort luistert bereikbaar zijn voor andere klanten op dezelfde uitgang. Inkomend verkeer standaard blokkeren bij de firewall van de host dekt het grootste deel van dat risico. Het testen betekent een tweede apparaat op dezelfde dienst aansluiten en proberen een luisterende poort te bereiken.
Sommige dingen veranderen nooit: account-ID's, tracking op applicatieniveau, en de wetenschap van de telefoon zelf dat hij verkeer doorstuurt wanneer je de verbinding deelt. Een tunnel is een routeringsbeslissing, geen identiteitswissel.
Kies de waarnemer waar je je voor verbergt voordat je een product kiest. Is het het lokale netwerk, dan helpt bijna elke correct geconfigureerde uitgang. Is het de logging van de aanbieder zelf, dan is het contract deel van de beslissing. Is het je werkgever, dan zal geen enkele persoonlijke tunnel de klus doen.