Kan ein VPN-operatør sjå kva nettstader du besøkjer?

Spør kva VPN-en kan sjå, og svaret er avhengig av kvar du står i løypa. På øktlaget har operatøren autentiseringshendingar og byttetal. På pakkelaget har han destinasjonsadresser og tidspunkt. På DNS-laget kan han ha sjølve namna. Kvart lag svarar på eit anna spørsmål, og ingen einbrytar flyttar deg mellom dei.

Avgjer laget før du hevdar noko

Same tilkopling gjev ulike registreringar på kvart punkt, og ei utsegn om personvern er berre meiningsfull når ho namngjev punktet. Les tabellen kolonne for kolonne: kva som finst på det laget, kva ein operatør kan sjå der, og kva dei same registreringane framleis ikkje kan fortelje.

Å lese eitt lag som heile biletet er starten på både overdrivingar og falsk tryggleik. Ein leverandør som seier at han ikkje loggar nettlesing, kan vere korrekt om URL-logging og likevel halde på øktregistreringar, og eit pakkeopptak som berre viser adresser blir ikkje ei nettlesarhistorikk utan omvende oppslag og gissing.

Når du vurderer ein policy, finn setninga som skildrar kvart lag. Viss policyen ikkje skil dei, spør kva registreringar som finst i staden for å godta ei generell utsegn om kryptering.

Øktoversyn: kva ein vanleg OpenVPN-tenar held på

Som standard fangar ikkje ein OpenVPN-tenar trafikken. Vanleg utdata er eit øktoversyn: kontoen som autentiserte seg, kjeldeadressa han kom frå, tidsstempel for start og slutt, tunneladressa som vart tildelt, og byttetotalane i kvar retning. Det er eit oversyn over økter, ikkje ei liste over destinasjonar.

Loggval kan leggje til detaljar. Eit høgare detaljnivå skriv meir om handtrykket, og ei statusfil kan liste tilkopla klientar, men ingen av dei gjer tenaren om til ein gjennomsiktig proxy. Å produsere URL-ar krev å avslutte TLS eller køyre ein eksplisitt proxy, og begge endrar tillitsforholdet i staden for å slå på ein skjult funksjon.

Derfor er den korrekte versjonen av påstanden om ingen nettlesarlogg smalare enn han høyrest ut. Tenaren kjenner ikkje sida, men han veit at ei økt fanst og om lag kor mykje data som gjekk gjennom ho. Om den øktregistreringa blir halden på, og kor lenge, er eit eige policyspørsmål.

Indre og ytre pakkar er ulike prov

Eit pakkeopptak er måten å sjå kva som faktisk går gjennom tunnelen. På tenaren namngje tunellgrensesnittet og skriv til ei fil som kan analyserast offline:

sudo tcpdump -ni tun0 -w /tmp/tun.pcap
sudo tcpdump -r /tmp/tun.pcap -nn | head

Den fila inneheld dekryptert indre trafikk: tunneladressa til klienten som kjelde, destinasjonsadresse og port, pakkestorleikar og tidspunkt. Ho inneheld ikkje HTTP-banen eller svarteksten med mindre TLS vart avslutta ein stad, og det er sensitive data der oppbevaring er eit policyvedtak og ikkje ein feilsøkingskomfort.

Eit opptak på det fysiske grensesnittet viser noko anna. Der ser du ytre pakkar adresserte til VPN-endepunktet, med den krypterte nyttelasta inni. Urelaterte adresser i den fila er normale når det finst ein virtuell adapter, fordi tunelleininga ber dei indre straumane medan den krypterte transporten ber dei ytre.

Spør kva spørsmål opptaket skal svare på. Bruken av tunnelen frå ein applikasjon er synleg på den virtuelle adapteren; nåbarheita til tunnelen mot endepunktet er synleg på den fysiske. Å bruke ei av filene som heile biletet gjev konklusjonar dataa ikkje kan bere.

DNS er staden der namn blir synlege

DNS blir verande det praktiske unntaket. Resolveren ser namna han blir beden om å slå opp, så den som driv han lærer kva nettstader ein klient søkjer etter, sjølv når dei seinare tilkoplingane er krypterte. Eit tunellopptak viser adresser; resolveren viser namn.

Sjekk kva adresse resolveren brukte for å nå ein ekstern teneste. Svaret er utgangsadressa til resolveren, og samanlikning med VPN-utgangen fortel om spørjinga gjekk gjennom tunnelen:

dig +short myip.opendns.com @resolver1.opendns.com
dig example.com
sudo tcpdump -ni any udp port 53

Viss den adressa samsvarer med den lokale tilkoplinga og ikkje med tunnelutgangen, gjekk oppslaget utanom VPN-en og namnet var synleg på den lokale vegen. Gjenta sjekken etter ein klientoppdatering, fordi ein ny versjon kan endre kva resolver profilen installerer.

Kryptert DNS flyttar synlegheita i staden for å fjerne ho. Nettverket ser ikkje lenger spørjinga, men resolveren gjer det framleis, og tillitsspørsmålet skiftar berre hender. TLS-tenarnamnet i handtrykket til tilkoplinga er eit anna delvis signal: det overlever ofte sjølv når nyttelasta er ugjennomsiktig, så destinasjonsadresser er ikkje dei einaste metadataa ein vidaresendande tenar kan observere.

Tre typar registreringar og kven som kan lese dei

Øktrekneskap, registreringar per namn og lekksprov er tre ulike produkt med tre ulike plikter. Øktloggar er billege og lite sensitive, og dei svarar på kven som kopla til og når. Registreringar per namn krev ein loggande resolver eller ein eksplisitt proxy, og dei skapar ei opplysningsplikt overfor dei råka. Lekksprov er ein test på klientsida som samanliknar det resolveren avdekkjer med tunnelutgangen.

Skriv ned kven av dei tre du driv, kven som kan lese han og kor lenge han blir verande. Utsegner om at ein teneste ikkje fører loggar skildrar eitt lag, og dei er berre sanne innanfor det omfanget. Same leverandør kan vere korrekt om økter og feil om DNS.

Hald testen reproduserbar: same resolverspørjing, same opptaksgrensesnitt og same samanlikning. Ein personvernpåstand som ikkje kan testast på eit namngjeve lag er eit slagord, ikkje eit operativt faktum.