Wat een VPN verbergt, en wat het open en bloot laat

De bewering dat een VPN je anoniem maakt, is de duurste mythe in consumentenprivacy, want ze is half waar en de onware helft is precies de helft waarop mensen vertrouwen. Een tunnel verbergt je bestemming inderdaad voor het netwerk waarop je zit, en hij verbergt je thuisadres voor de site die je bezoekt. Hij verbergt niet wie je bent als je inlogt, wat je browser meedraagt of wat de VPN-operator kan observeren. De nuttige vraag is nooit of een VPN je verbergt, maar verborgen voor welke waarnemer, voor welk verkeer.

De mythe: een tunnel is een anonimiteitsschakelaar

Een VPN versleutelt het pad tussen je apparaat en de VPN-server en stuurt je verzoeken daarna door vanaf het adres van de server. Alles wat je via dat pad verstuurt, is verborgen voor de Wi-Fi-operator en de provider vóór de tunnel. Dat is een echte verandering, en daarom ziet een hotelnetwerk niet meer welke sites je opent. Het is geen anonimiteit, want de tunnel verplaatst het observatiepunt in plaats van het weg te nemen.

De correctie telt in de praktijk. Als je via een VPN inlogt op een werkaccount, kent de site het account nog steeds. Als je browser een cookie van een advertentienetwerk bevat, wist de tunnel die niet. Als de client zo is ingesteld dat lokaal verkeer wordt uitgesloten, komt dat verkeer nooit in de tunnel. Een gesloten hangslot beschrijft de tunnel, niet de som van wat je hebt onthuld.

Wat het toegangsnetwerk verliest en wat het houdt

Het toegangsnetwerk, dus de Wi-Fi-operator of de provider die je verbinding naar de VPN-server draagt, ziet nog steeds dat er een VPN-verbinding bestaat. Het kan het eindpuntadres loggen, wanneer je verbond, hoe lang de sessie duurde en ongeveer hoeveel data er ging. Verkeersanalyse van die vorm kan informatief zijn, zelfs als de inhoud onleesbaar is, en daarom zijn versleuteld en onzichtbaar verschillende beweringen.

Het bewaart ook alles wat je er direct tegen zei: een login op een captive portal, een kamernummer, een betaling voor toegang. En het kan DNS nog steeds zien als de client of de systeemresolver vragen buiten de tunnel stuurt. Dat lek komt vaak voor bij split-tunnelopstellingen en op apparaten die een DNS-server van de router of provider houden. Controleer de resolver die gebruikt wordt terwijl je verbonden bent, niet alleen het uitgaande adres.

Wat de website nog herkent

De site ziet het uitgaande adres van de VPN-server, niet je thuisadres, voor verbindingen die de tunnel gebruiken. Dat is de hele verandering op IP-niveau. Wat hij voorbij het adres ziet, is onveranderd: het account waarop je inlogt, eerder gezette cookies, de browser en het besturingssysteem die je presenteert, en het tijdstip van je verzoeken. Een site die je al kent, wordt geen vreemde omdat het bronadres is veranderd.

Locatie verdient een eigen regel. Een site die de browser om locatie vraagt, krijgt een antwoord dat door de browsertoestemming wordt bepaald, niet door de VPN. GPS op een telefoon staat los van de tunnel. Een adres dat geolokaliseerd wordt in een ander land terwijl de kaart nog je stad toont, is dus geen VPN-storing; het zijn twee verschillende locatiekanalen die het oneens zijn.

Fingerprinting is de andere helft. Schermformaat, lettertypen, tijdzone, taal en canvas-uitvoer kunnen browsers onderscheiden, zelfs als het adres met duizenden andere gebruikers wordt gedeeld. Een VPN verandert één invoer van dat profiel en laat de rest intact.

Wat de operator kan zien

De operator beëindigt je tunnel en stuurt het verzoek door, dus hij zit waar je provider vroeger zat. Hij kan bestemmingsadressen zien en, zonder versleutelde client hello, de hostnamen die je opvraagt; hij ziet DNS-query's als je zijn resolver gebruikt; hij ziet volume en tijdstip. De inhoud van een HTTPS-sessie kan hij niet lezen zonder die te onderscheppen met een certificaat dat je apparaat vertrouwt, en dat is een ander en lawaaieriger aanval.

Zichtbaarheid is geen bewaring. Een provider kan technisch in staat zijn een verzoek te observeren en het toch niet loggen, of verbindingsmetadata loggen en de inhoud weggooien. De eerlijke vraag is wat het beleid en de jurisdictie van de provider verplichten te bewaren, en een no-logs-badge beantwoordt dat niet. Behandel de operator als een partij aan wie je je metadata bewust toevertrouwt.

Wat het apparaat houdt, met of zonder tunnel

Niets van de tunnel komt in het apparaat terecht. Browsegeschiedenis blijft in de browser, downloads blijven in het bestandssysteem, en een app met microfoon- of schermtoegang behoudt die toegang. Bewakingssoftware op de machine kan gegevens lezen voordat ze worden versleuteld of nadat ze zijn ontsleuteld, en daarom is een VPN geen verdediging tegen een gecompromitteerd eindpunt.

Hetzelfde geldt voor accounts. Een sessiecookie die van het apparaat is gekopieerd, werkt vanaf elk adres, en een wachtwoord dat op meerdere sites opnieuw wordt gebruikt, verbindt identiteiten die geen tunnel scheidt. Als de dreiging die je bezighoudt iemand is die het apparaat vasthoudt, lost de VPN dat niet op.

Test de dekking die je echt hebt gekocht

Test de eigenschappen waarop je vertrouwt in plaats van de marketingclaim. Controleer met de tunnel aan het openbare adres, de DNS-resolver en het IPv6-pad. Een tunnel met alleen IPv4 op een dual-stacknetwerk kan IPv6-verkeer volledig buiten laten. De gids van EFF voor het kiezen van een VPN stelt dezelfde vraag als dreigingsmodel en niet als productranglijst.

Test daarna het gedrag bij storing. Verbreek de tunnel en controleer of het verkeer stopt of terugvalt op het directe pad; dat hangt af van de kill-switchinstelling van de client, niet van de protocolnaam. Noem ten slotte de apps en prefixes op die de client uitsluit. Split-tunneling is waar de meeste verrassingen leven, want de dekking die je kocht is de dekking die de client is ingesteld te leveren.