ਤੁਹਾਡਾ VPN ਪ੍ਰਦਾਤਾ ਕੀ ਦੇਖ ਸਕਦਾ ਹੈ ਅਤੇ ਕੀ ਨਹੀਂ
ਐਗਜ਼ਿਟ ਪਤੇ, ਸਮੇਂ ਅਤੇ Encrypted Client Hello ਵਰਤਿਆ ਨਾ ਜਾਣ 'ਤੇ TLS ਹੈਂਡਸ਼ੇਕ ਵਿੱਚ ਸਾਈਟ ਦਾ ਨਾਮ ਦੇਖਦਾ ਹੈ। ਸੰਭਾਲ ਇੱਕ ਵੱਖਰਾ ਸਵਾਲ ਹੈ।
ਤੁਹਾਡਾ ਟਨਲ ਸਥਾਨਕ ਨੈੱਟਵਰਕ ਨੂੰ ਤੁਹਾਡੇ ਟ੍ਰੈਫਿਕ ਤੋਂ ਬਾਹਰ ਰੱਖਦਾ ਹੈ। ਪਰ ਇਹ ਦੂਜੇ ਸਿਰੇ ਦੀ ਕੰਪਨੀ ਨੂੰ ਨਹੀਂ ਹਟਾਉਂਦਾ, ਜੋ ਹਰ ਪੈਕਟ ਨੂੰ ਖੁੱਲ੍ਹੇ ਇੰਟਰਨੈੱਟ ਤੱਕ ਪਹੁੰਚਣ ਤੋਂ ਪਹਿਲਾਂ ਪ੍ਰੋਸੈਸ ਕਰਦੀ ਹੈ। ਇਹ ਸਥਿਤੀ ਇੱਕੋ ਸਮੇਂ ਕਾਰੋਬਾਰੀ ਮਾਡਲ ਅਤੇ ਪਰਦੇਦਾਰੀ ਦਾ ਸਵਾਲ ਹੈ। ਇਸ ਲਈ ਲਾਭਦਾਇਕ ਸਵਾਲ ਇਹ ਨਹੀਂ ਕਿ ਪ੍ਰਦਾਤਾ ਤੁਹਾਨੂੰ ਦੇਖ ਸਕਦਾ ਹੈ ਜਾਂ ਨਹੀਂ, ਬਲਕਿ ਇਹ ਕਿ ਉਹ ਕੀ ਦੇਖਦਾ ਹੈ, ਕਿਸ ਨੂੰ ਨਾਮ ਦੇ ਸਕਦਾ ਹੈ ਅਤੇ ਕੀ ਰੱਖਦਾ ਹੈ।
ਭਰੋਸਾ ਅਸਲ ਵਿੱਚ ਕਿੱਥੇ ਜਾਂਦਾ ਹੈ
ਐਨਕ੍ਰਿਪਸ਼ਨ ਤੁਹਾਡੇ ਡਿਵਾਈਸ ਤੋਂ ਪ੍ਰਦਾਤਾ ਦੇ ਸਰਵਰ ਤੱਕ ਚੱਲਦੀ ਹੈ, ਅਤੇ ਇਹ ਬਾਹਰੀ ਹਿੱਸਾ ਹੀ ਉਹ ਸਭ ਹੈ ਜੋ ਤੁਹਾਡਾ ਸਥਾਨਕ ਨੈੱਟਵਰਕ ਕਦੇ ਦੇਖਦਾ ਹੈ। ਪ੍ਰਦਾਤਾ ਇਸ ਹਿੱਸੇ ਦਾ ਦੂਜਾ ਸਿਰਾ ਰੱਖਦਾ ਹੈ, ਇਸ ਲਈ ਉਹ ਟਨਲ ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕਰਦਾ ਹੈ ਅਤੇ ਤੁਹਾਡੇ ਪੈਕਟ ਅੱਗੇ ਭੇਜਦਾ ਹੈ। ਇਸ ਵਿੱਚ ਕੋਈ ਖੋਟ ਨਹੀਂ; ਇਹ ਉਸ ਸੇਵਾ ਦੀ ਪਰਿਭਾਸ਼ਾ ਹੈ ਜੋ ਤੁਸੀਂ ਖਰੀਦੀ। ਭਰੋਸਾ ਗਾਇਬ ਹੋਣ ਦੀ ਬਜਾਏ ਸਥਾਨਕ ਆਪਰੇਟਰ ਤੋਂ ਐਗਜ਼ਿਟ ਆਪਰੇਟਰ ਵੱਲ ਚਲਾ ਗਿਆ।
ਇਸ ਸਥਿਤੀ ਤੋਂ ਉਹ ਤੁਹਾਡਾ ਸਰੋਤ ਪਤਾ, ਤੁਸੀਂ ਕਦੋਂ ਜੁੜੇ, ਲਗਭਗ ਕਿੰਨਾ ਟ੍ਰਾਂਸਫਰ ਕੀਤਾ ਅਤੇ ਕਿਹੜੀਆਂ ਮੰਜ਼ਿਲਾਂ ਨਾਲ ਸੰਪਰਕ ਕੀਤਾ, ਇਹ ਜਾਣ ਲੈਂਦਾ ਹੈ। ਇਹਨਾਂ ਵਿੱਚੋਂ ਕਿਸੇ ਲਈ ਵੀ ਤੁਹਾਡੇ ਸੁਨੇਹੇ ਪੜ੍ਹਨ ਦੀ ਲੋੜ ਨਹੀਂ, ਅਤੇ ਸ਼੍ਰੇਣੀਆਂ ਵੱਖ ਕਰਨ ਦਾ ਅਰਥ ਇਹੀ ਹੈ। ਪ੍ਰਦਾਤਾਵਾਂ ਵਿਚਕਾਰ ਦਿਲਚਸਪ ਫਰਕ ਇਸ ਗੱਲ ਨਾਲ ਸੰਬੰਧਿਤ ਹਨ ਕਿ ਉਹਨਾਂ ਨਿਰੀਖਣਾਂ ਨਾਲ ਬਾਅਦ ਵਿੱਚ ਕੀ ਹੁੰਦਾ ਹੈ।
ਐਗਜ਼ਿਟ ਲਾਜ਼ਮੀ ਤੌਰ 'ਤੇ ਕੀ ਸੰਭਾਲਦਾ ਹੈ
ਸ਼੍ਰੇਣੀਆਂ ਨੂੰ ਇਸ ਆਧਾਰ 'ਤੇ ਲੜੀਬੱਧ ਕਰੋ ਕਿ ਐਗਜ਼ਿਟ ਉਹਨਾਂ ਨੂੰ ਕਿੰਨੀ ਭਰੋਸੇਯੋਗਤਾ ਨਾਲ ਦੇਖ ਸਕਦਾ ਹੈ। ਕਿਸੇ ਵੀ ਕਤਾਰ ਲਈ ਐਨਕ੍ਰਿਪਸ਼ਨ ਤੋੜਨ ਦੀ ਲੋੜ ਨਹੀਂ, ਅਤੇ ਇਹ ਬਿਲਕੁਲ ਟਾਲੀ ਜਾ ਸਕਦੀ ਹੈ ਜਾਂ ਨਹੀਂ ਇਸ ਲਈ ਹਰ ਇੱਕ ਦਾ ਵੱਖਰਾ ਜਵਾਬ ਹੈ।
| Category | Visible at the exit | Why |
|---|---|---|
| Your public address | Always | It is the address the tunnel arrives from |
| Connection times and volume | Always | Accounting data, not content |
| Destination IP addresses | Always | The exit has to route the packets |
| HTTPS hostname (SNI) | Normally, unless ECH is used | Sent in the clear in the TLS ClientHello |
| DNS names | Only if DNS is plaintext | DoH or DoT hides the query; plaintext is readable by the forwarder |
| Page paths and form contents | Not normally | Protected by the destination site's TLS session |
ਚੌਥੀ ਕਤਾਰ ਉਹੀ ਹੈ ਜੋ ਜ਼ਿਆਦਾਤਰ ਮਾਨਸਿਕ ਮਾਡਲ ਖੁੰਝਾਉਂਦੇ ਹਨ। ਆਧੁਨਿਕ ਬਰਾਊਜ਼ਰ ਸਾਈਟ ਦਾ ਨਾਮ ClientHello ਵਿੱਚ ਰੱਖਦਾ ਹੈ, ਜੋ TLS ਹੈਂਡਸ਼ੇਕ ਦਾ ਪਹਿਲਾ ਸੁਨੇਹਾ ਹੈ, ਅਤੇ ਹਰ DNS ਪੁੱਛਗਿੱਛ ਸਿਰੇ ਤੋਂ ਸਿਰੇ ਤੱਕ ਐਨਕ੍ਰਿਪਟ ਹੋਣ 'ਤੇ ਵੀ ਉਹ ਖੇਤਰ ਐਗਜ਼ਿਟ 'ਤੇ ਪੜ੍ਹਿਆ ਜਾ ਸਕਦਾ ਹੈ। ਜੇ Encrypted Client Hello 'ਤੇ ਸਹਿਮਤੀ ਨਾ ਬਣੇ ਤਾਂ ਨਾਮ ਮੰਜ਼ਿਲ ਪਤੇ ਦੇ ਨਾਲ ਖੁੱਲ੍ਹਾ ਸਫ਼ਰ ਕਰਦਾ ਹੈ। ਐਨਕ੍ਰਿਪਟਿਡ DNS ਇਹ ਬਦਲਦੀ ਹੈ ਕਿ ਪੁੱਛਗਿੱਛ ਕੌਣ ਦੇਖਦਾ ਹੈ, ਨਾਮ ਕੌਣ ਦੇਖਦਾ ਹੈ ਇਹ ਨਹੀਂ।
ਪੁਰਾਣੇ ਕਨੈਕਸ਼ਨਾਂ ਦੇ ਸਰਟੀਫਿਕੇਟਾਂ ਲਈ ਵੀ ਇਹੀ ਸੱਚ ਹੈ: TLS 1.3 ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰਦਾ ਹੈ, ਜਦੋਂ ਕਿ TLS 1.2 ਹੈਂਡਸ਼ੇਕ ਸਟ੍ਰੀਮ ਰਿਕਾਰਡ ਕਰਨ ਵਾਲੇ ਨਿਰੀਖਕ ਨੂੰ ਨਾਮ ਦਾ ਪਰਦਾਫਾਸ਼ ਕਰ ਸਕਦਾ ਹੈ। ਦੋਵੇਂ ਆਵਾਜਾਈ ਦੇ ਤੱਥ ਹਨ, ਪ੍ਰਦਾਤਾ ਦੀ ਨੀਤੀ ਨਹੀਂ।
TLS ਕੀ ਢੱਕਦਾ ਹੈ ਅਤੇ ਕੀ ਨਹੀਂ
ਜਦੋਂ ਸਾਈਟ HTTPS ਪੇਸ਼ ਕਰਦੀ ਹੈ, ਤੁਹਾਡਾ ਬਰਾਊਜ਼ਰ ਉਸ ਸਾਈਟ ਦੇ ਅੰਤਿਮ ਬਿੰਦੂ ਨਾਲ TLS ਕਨੈਕਸ਼ਨ ਬਣਾਉਂਦਾ ਹੈ, VPN ਸਰਵਰ ਨਾਲ ਨਹੀਂ। ਪ੍ਰਦਾਤਾ ਐਨਕ੍ਰਿਪਟਿਡ ਰਿਕਾਰਡ ਅੱਗੇ ਭੇਜਦਾ ਹੈ ਅਤੇ ਮੰਜ਼ਿਲ ਪਤਾ, ਸਮਾਂ ਅਤੇ ਅੰਦਾਜ਼ਨ ਆਕਾਰ ਜਾਣ ਲੈਂਦਾ ਹੈ। ECH ਕੰਮ ਨਾ ਕਰੇ ਤਾਂ ਸਾਈਟ ਦਾ ਨਾਮ ClientHello ਵਿੱਚ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਪੰਨੇ ਦਾ ਮੁੱਖ ਹਿੱਸਾ ਦੋਵੇਂ ਹਾਲਤਾਂ ਵਿੱਚ ਐਨਕ੍ਰਿਪਟਿਡ ਰਹਿੰਦਾ ਹੈ। ਅਚਾਨਕ ਮਿਲਿਆ ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਇਸ ਸੀਮਾ ਨੂੰ ਬਦਲਦਾ ਹੈ, ਇਸ ਲਈ ਸਰਟੀਫਿਕੇਟ ਚੇਤਾਵਨੀਆਂ ਸਤਿਕਾਰਯੋਗ ਹਨ।
ਸਾਧਾਰਨ HTTP ਕੋਲ ਐਗਜ਼ਿਟ ਤੋਂ ਅੱਗੇ ਅਜਿਹੀ ਕੋਈ ਸੁਰੱਖਿਆ ਨਹੀਂ। ਟਨਲ ਪ੍ਰਦਾਤਾ ਤੱਕ ਦਾ ਹਿੱਸਾ ਬਚਾਉਂਦਾ ਹੈ, ਅਤੇ ਉਸ ਤੋਂ ਬਾਅਦ ਬੇਨਤੀ ਠੀਕ ਉਸੇ ਤਰ੍ਹਾਂ ਜਾਂਦੀ ਹੈ ਜਿਵੇਂ VPN ਤੋਂ ਬਿਨਾਂ ਜਾਂਦੀ। ECH ਇਸਨੂੰ ਠੀਕ ਨਹੀਂ ਕਰਦਾ, ਕਿਉਂਕਿ ਇਹ ਨਾਮ ਬਚਾਉਂਦਾ ਹੈ, ਸਮੱਗਰੀ ਨਹੀਂ।
ਸੰਭਾਲ ਦਿੱਖ ਤੋਂ ਵੱਖਰਾ ਸਵਾਲ ਹੈ
ਆਪਰੇਟਰ ਕਨੈਕਸ਼ਨ ਡੇਟਾ ਨੂੰ ਮੈਮਰੀ ਵਿੱਚ ਪ੍ਰੋਸੈਸ ਕਰਕੇ ਕੁਝ ਨਹੀਂ ਰੱਖ ਸਕਦਾ, ਜਾਂ ਇੱਕ ਉਪ-ਸਮੂਹ ਰੱਖ ਕੇ ਉਸਨੂੰ ਬ੍ਰਾਊਜ਼ਿੰਗ ਇਤਿਹਾਸ ਨਾ ਹੋਣ ਵਜੋਂ ਸਹੀ ਢੰਗ ਨਾਲ ਬਿਆਨ ਕਰ ਸਕਦਾ ਹੈ। ਨੋ-ਲੌਗ ਦਾਅਵੇ ਨੂੰ ਨਾਹਰੇ ਦੀ ਬਜਾਏ ਸ਼੍ਰੇਣੀ ਅਨੁਸਾਰ ਪੜ੍ਹੋ: ਕਨੈਕਸ਼ਨ ਰਿਕਾਰਡ, ਸਮਾਂ-ਛਾਪ, ਕੁੱਲ ਮਾਤਰਾ, ਮੰਜ਼ਿਲ ਡੇਟਾ, ਖਾਤਾ ਪਛਾਣਕਰਤਾ ਅਤੇ ਸਹਾਇਤਾ ਸੁਨੇਹੇ ਸਭ ਗਿਣੇ ਜਾਂਦੇ ਹਨ। ਪ੍ਰਦਾਤਾ ਇਮਾਨਦਾਰੀ ਨਾਲ ਕੋਈ ਬ੍ਰਾਊਜ਼ਿੰਗ ਲੌਗ ਨਾ ਰੱਖਦਿਆਂ ਵੀ ਖਾਤੇ ਦਾ ਰਿਕਾਰਡ ਅਤੇ ਸੇਵਾ ਚਲਾਉਣ ਲਈ ਲੋੜੀਂਦਾ ਮੈਟਾਡੇਟਾ ਰੱਖ ਸਕਦਾ ਹੈ। ਦਿੱਖ ਇਹ ਨਹੀਂ ਦੱਸਦੀ ਕਿ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕਿਹੜੀ ਸ਼੍ਰੇਣੀ ਸੰਭਾਲੀ ਜਾਂਦੀ ਹੈ।
ਆਡਿਟ ਪ੍ਰਣਾਲੀਆਂ ਅਤੇ ਉਸ ਸਮੇਂ ਦੀ ਮਿਆਦ ਬਾਰੇ ਸਬੂਤ ਹੈ ਜਿਸਨੂੰ ਇਸਨੇ ਢੱਕਿਆ, ਅਤੇ ਖੁੱਲ੍ਹੇ ਸਰੋਤ ਵਾਲਾ ਕਲਾਇੰਟ ਕੋਡ ਸਰਵਰਾਂ ਦੀ ਨਹੀਂ, ਕਲਾਇੰਟ ਦੀ ਵਿਆਖਿਆ ਕਰਦਾ ਹੈ। ਦੋਵੇਂ ਲਾਭਦਾਇਕ ਹਨ, ਅਤੇ ਕੋਈ ਵੀ ਐਗਜ਼ਿਟ ਪਿੱਛੇ ਦੀ ਹਰ ਸਟੋਰੇਜ ਪ੍ਰਣਾਲੀ ਵੱਲੋਂ ਨਹੀਂ ਬੋਲਦਾ। ਆਡਿਟ ਦਾ ਬੈਜ ਨਹੀਂ, ਉਸਦਾ ਦਾਇਰਾ ਪੁੱਛੋ।
ਪ੍ਰਦਾਤਾਵਾਂ ਨੂੰ ਵੱਖ ਕਰਨ ਵਾਲੇ ਸਵਾਲ
ਪੁੱਛੋ ਕਿ ਕੀ ਰੱਖਿਆ ਜਾਂਦਾ ਹੈ, ਕਿੰਨਾ ਚਿਰ ਅਤੇ ਕੌਣ ਲੈ ਸਕਦਾ ਹੈ। ਪੁੱਛੋ ਕਿ ਐਗਜ਼ਿਟ ਕੌਣ ਚਲਾਉਂਦਾ ਹੈ, ਕਿਉਂਕਿ ਡਾਇਰੈਕਟਰੀ ਐਂਟਰੀ, ਐਪ ਡਿਵੈਲਪਰ ਅਤੇ ਕਿਸੇ ਖਾਸ ਸਰਵਰ ਨੂੰ ਚਲਾਉਣ ਵਾਲਾ ਵਿਅਕਤੀ ਤਿੰਨ ਵੱਖਰੀਆਂ ਧਿਰਾਂ ਹੋ ਸਕਦੇ ਹਨ। ਪੁੱਛੋ ਕਿ DNS ਕਿਵੇਂ ਸੰਭਾਲਿਆ ਜਾਂਦਾ ਹੈ ਅਤੇ ਤੁਸੀਂ ਵਰਤਦੇ ਰਾਹਾਂ 'ਤੇ ECH ਸਮਰਥਿਤ ਹੈ ਜਾਂ ਨਹੀਂ, ਕਿਉਂਕਿ ਸਾਧਾਰਨ ਟੈਕਸਟ ਵਾਲਾ ClientHello DNS ਪੁੱਛਗਿੱਛ ਤੋਂ ਬਿਨਾਂ ਵੀ ਸਾਈਟ ਦਾ ਨਾਮ ਦੱਸ ਦਿੰਦਾ ਹੈ। ਪੁੱਛੋ ਕਿ ਕਾਨੂੰਨੀ ਬੇਨਤੀ 'ਤੇ ਕੀ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਜਵਾਬ ਨੂੰ ਇਰਾਦੇ ਦੀ ਨਹੀਂ, ਸਮਰੱਥਾ ਦੀ ਵਿਆਖਿਆ ਵਜੋਂ ਪੜ੍ਹੋ।
EFF ਦੀ VPN ਚੁਣਨ ਦੀ ਗਾਈਡ ਇਹਨਾਂ ਸਵਾਲਾਂ ਲਈ ਵਾਜਬ ਚੈਕਲਿਸਟ ਹੈ, ਅਤੇ ਇਹ ਕਿਸੇ ਸੇਵਾ ਬਾਰੇ ਫੈਸਲਾ ਨਹੀਂ, ਇੱਕ ਢਾਂਚਾ ਹੈ। ਮਾਰਕੀਟਿੰਗ ਪੰਨਾ ਸੰਭਾਲ ਨੀਤੀ ਨਹੀਂ। ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ VPN ਨੂੰ ਬੇਕਾਰ ਨਹੀਂ ਬਣਾਉਂਦਾ; ਇਹ ਬਦਲਦਾ ਹੈ ਕਿ ਤੁਹਾਨੂੰ ਕਿਸ 'ਤੇ ਭਰੋਸਾ ਕਰਨਾ ਹੈ ਅਤੇ ਕਿਸ ਲਈ।