VPN-metadata: kva kvar observatør framleis kan sjå
Kryptering gøymer innhaldet, ikkje at det finst ei tilkopling. Skil kva tilgangsnettet, VPN-utgangen, resolvaren og destinasjonen observerer, og kva kvar av dei held på.
Kryptering gøymer det du sende, ikkje at du sende noko. Storleikar, timing og dei ytre adressene er framleis tilgjengelege for partar på ulike punkt langs ruta. Kvar observatør får ei anna skive, og personvernspørsmålet er kva den skiva kan grunngje. Byrja med å nemne kven som ser, før du avgjer kva eksponeringa tyder.
Nemne observatøren før påstanden
Fire posisjonar betyr noko i ein typisk tunnel: tilgangsnettet ditt, utgangen til VPN-operatøren, kvar resolvar som tek imot eit namn, og destinasjonen sjølv. Kvar ser ein annan kombinasjon av kjelde, destinasjon, namn, storleik og tid. Ein generell påstand om kva ein VPN avdekkjer er nesten alltid ein påstand om ein av desse posisjonane.
| Observer | Usually visible | Not visible |
|---|---|---|
| Access network | VPN endpoint, volume, timing | Inner destinations |
| VPN exit | Your traffic, destination addresses | Your home address |
| Resolver | The names it resolves | Your full page content |
| Destination | Exit address, request, protocol details | Your physical location |
Hald dei fråskilde i analysen. Å slå dei saman gjev påstandar som ikkje kan testast. Posisjonen til ein observatør avgjer òg kva eit juridisk krav seinare kan få frå han.
Innhald og destinasjon er ulike spørsmål
Kryptering vernar nyttelasta i ei tilkopling, og HTTPS vernar ho igjen i si eiga utveksling. Destinasjonsadresser er likevel rutingsinformasjon, og utgangen må vidaresende til dei. DNS-resolvarar tek imot namna dei svarar på, og synlegheita til andre vertsnamn avheng av protokollen som blir brukt. Å anta at kvar mellommann ser ein full URL er like feil som å anta at ingen ser noko.
Konto-ID-ar, einingsetikettar og diagnostiske ID-ar lever ofte i styringssystem i staden for i pakkefelt. Ein protokollspesifikasjon skildrar ikkje analysane rundt han. Ein tunnel som gøymer adresser for tilgangsnettet kan framleis eksponere dei for utgangen, så identiske metadata har ulik verdi i ulike hender.
Observerbart er ikkje lagra
Eit endepunkt kan handsame data for å levere trafikk utan å føre historikk over det. Det kan òg halde på diagnostikk, samla totalar eller postar per konto i ein avgrensa periode. Dette er ulik åtferd med ulike konsekvensar, og ordet anonym skil dei sjeldan. Ein pakke som passerer ein server etterlèt ingen automatisk registrering av kvar han gjekk.
Spør kva som blir samla inn, om det blir knytt til ein konto, kor lenge det blir halde på og kven som kan lese det. Ein total på tvers av alle brukarar svarar på eit anna spørsmål enn ein tidsstempla post knytt til éin identitet. Den skilnaden er skilnaden mellom ein personvernpolicy og ei marknadssetning.
Skriv ned svaret før du samanliknar leverandørar. Ei munnleg forsikring er ikkje ein oppbevaringspolicy.
Still konkrete spørsmål om oppbevaring
Skriv spørsmåla ned før du samanliknar produkt. Kva hendingar blir logga, med kva detaljgrad, kor lenge og under kven sin kontroll? Blir dataa aggregerte, sampla eller sletta etter ein tidsplan? Kan operatøren produsere historikk per konto om det blir spurt?
Desse svara høyrer heime i vedtaksprotokollen. Utan dei er samanlikninga ein konkurranse i slagord.
RFC 6973-personvernrettleiinga er eit nyttig rammeverk for desse spørsmåla fordi ho skil dataminimering frå oppbevaring og sekundær bruk. Ei liste som nemner landet til ein utgang fortel deg kvar du koplar til. Ho seier ingenting om kva den operatøren lagrar.