Kva VPN-leverandøren din kan sjå, og kva han ikkje kan sjå
Utgangen ser adresser, tidspunkt og, med mindre Encrypted Client Hello vert brukt, nettstadsnamnet i TLS-handtrykket. Lagring er eit eige spørsmål.
Tunnelen din held det lokale nettet utanfor trafikken din. Han fjernar likevel ikkje selskapet i andre enden, som handsamar kvar pakke før ho når det opne internettet. Den posisjonen er både forretningsmodellen og personvernspørsmålet. Det nyttige spørsmålet er difor ikkje om leverandøren kan sjå deg, men kva han ser, kva han kan namngje og kva han held på.
Kvar tilliten faktisk flyttar seg
Krypteringa går frå eininga di til tenaren til leverandøren, og den ytre delen er alt det lokale nettet ditt nokon gong ser. Leverandøren held den andre enden av delen, så han dekrypterer tunnelen og sender pakkane dine vidare. Det er ingen feil i det; det er definisjonen på tenesta du kjøpte. Tilliten flytta seg frå den lokale operatøren til operatøren av utgangen i staden for å forsvinne.
Frå den posisjonen lærer han kildeadressa di, når du kopla til, omtrent kor mykje du overførte og kva destinasjonar du kontakta. Ingenting av dette krev å lese meldingane dine, og det er poenget med å skilje kategoriane. Dei interessante skilnadene mellom leverandørar handlar om kva som skjer med desse observasjonane etterpå.
Kva utgangen handsamar av naudsyn
Sorter kategoriane etter kor påliteleg utgangen kan sjå dei. Ingen av radene krev å bryte kryptering, og kvar har eit ulikt svar på om ho i det heile kan unnast.
| Category | Visible at the exit | Why |
|---|---|---|
| Your public address | Always | It is the address the tunnel arrives from |
| Connection times and volume | Always | Accounting data, not content |
| Destination IP addresses | Always | The exit has to route the packets |
| HTTPS hostname (SNI) | Normally, unless ECH is used | Sent in the clear in the TLS ClientHello |
| DNS names | Only if DNS is plaintext | DoH or DoT hides the query; plaintext is readable by the forwarder |
| Page paths and form contents | Not normally | Protected by the destination site's TLS session |
Den fjerde rada er det dei fleste mentale modellane overser. Ein moderne nettlesar set nettstadsnamnet i ClientHello, den første meldinga i TLS-handtrykket, og feltet er lesbart ved utgangen sjølv når kvar DNS-spørjing er kryptert ende til ende. Med mindre Encrypted Client Hello vert forhandla, reiser namnet i klartekst ved sida av destinasjonsadressa. Kryptert DNS endrar kven som ser spørjinga, ikkje kven som ser namnet.
Det same gjeld sertifikat på eldre tilkoplingar: TLS 1.3 krypterer sertifikatet til tenaren, medan eit TLS 1.2-handtrykk kan avsløre namnet for ein observatør som tek opp straumen. Begge er transportfakta, ikkje leverandørpolitikk.
Kva TLS dekkjer, og kva det ikkje dekkjer
Når ein nettstad leverer HTTPS, byggjer nettlesaren din ei TLS-tilkopling til endepunktet til nettstaden, ikkje til VPN-tenaren. Leverandøren sender krypterte postar vidare og får vite destinasjonsadressa, tidspunktet og dei omtrentlege storleikane. Nettstadsnamnet følgjer med i ClientHello med mindre ECH er i spel, og sidekroppen blir verande kryptert i båe tilfelle. Eit uventa rotsertifikat endrar denne grensa, og difor fortener sertifikatåtvaringar respekt.
Vanleg HTTP har inga slik vern etter utgangen. Tunnelen vernar delen til leverandøren, og deretter reiser førespurnaden nøyaktig som han ville ha gjort utan VPN. ECH reparerer ikkje det, fordi det vernar namnet og ikkje innhaldet.
Lagring er eit anna spørsmål enn synlegheit
Ein operatør kan handsame tilkoplingsdata i minnet og ikkje halde på noko, eller halde på eit utval og skildre det nøyaktig som ikkje nettlesarhistorikk. Les ein null-logg-påstand etter kategori og ikkje etter slagord: tilkoplingspostar, tidsstempel, volum, destinasjonsdata, kontoidentifikatorar og støttemeldingar tel alle. Ein leverandør kan ærleg ikkje føre nettlesarloggar og samstundes oppbevare kontoposten og metadataa som trengst for å drive tenesta. Synlegheit fortel deg ikkje kva av desse kategoriane som vert lagt på lager.
Ein revisjon er prov om systema og tidsvindauget han dekte, og open klientkode skildrar klienten og ikkje tenarane. Båe er nyttige, og ingen av dei talar for kvart lagringssystem bak utgangen. Spør om omfanget av ein revisjon, ikkje om merket.
Spørsmål som skil leverandørar
Spør kva som vert lagra, kor lenge og kven som kan hente det. Spør kven som driv utgangen, fordi ei katalogoppføring, ein apputviklar og personen som driv ein bestemd tenar kan vere tre ulike partar. Spør korleis DNS vert handsama og om ECH er støtta på rutene du brukar, sidan eit ClientHello i klartekst namngjev nettstaden sjølv utan ei DNS-spørjing. Spør kva som skjer ved ein juridisk førespurnad, og les svaret som ei skildring av evne og ikkje av intensjon.
EFFs guide til å velje ein VPN er ei rimeleg sjekkliste for dei spørsmåla, og ho er eit rammeverk og ikkje ein dom over noka teneste. Ei marknadsføringsside er ikkje ein lagringspolitikk. Ingenting av dette gjer ein VPN ubrukeleg; det endrar kven du må stole på, og kvifor.