Metadane VPN: co każdy obserwator wciąż może zobaczyć
Szyfrowanie ukrywa treść, a nie fakt połączenia. Oddziel to, co obserwują sieć dostępu, wyjście VPN, resolver i cel, oraz to, co każde z nich zachowuje.
Szyfrowanie ukrywa to, co wysłałeś, a nie to, że coś wysłałeś. Rozmiary, czas i zewnętrzne adresy pozostają dostępne dla stron w różnych punktach ścieżki. Każdy obserwator otrzymuje inny wycinek, a pytanie o prywatność dotyczy tego, co ten wycinek może potwierdzić. Zacznij od nazwania, kto patrzy, zanim zdecydujesz, co oznacza ekspozycja.
Nazwij obserwatora przed twierdzeniem
Cztery pozycje mają znaczenie w typowym tunelu: twoja sieć dostępu, wyjście operatora VPN, dowolny resolver, który otrzymuje nazwę, oraz sam cel. Każda widzi inną kombinację źródła, celu, nazwy, rozmiaru i czasu. Ogólne twierdzenie o tym, co ujawnia VPN, jest prawie zawsze twierdzeniem o jednej z tych pozycji.
| Observer | Usually visible | Not visible |
|---|---|---|
| Access network | VPN endpoint, volume, timing | Inner destinations |
| VPN exit | Your traffic, destination addresses | Your home address |
| Resolver | The names it resolves | Your full page content |
| Destination | Exit address, request, protocol details | Your physical location |
Trzymaj je oddzielnie w analizie. Ich połączenie daje twierdzenia, których nie da się sprawdzić. Pozycja obserwatora decyduje też, co później może od niego uzyskać żądanie prawne.
Treść i cel to różne pytania
Szyfrowanie chroni ładunek połączenia, a HTTPS chroni go ponownie w swojej własnej wymianie. Adresy docelowe są jednak informacją routingu, a wyjście musi do nich przekazywać. Resolverzy DNS otrzymują nazwy, na które odpowiadają, a widoczność innych nazw hostów zależy od użytego protokołu. Zakładanie, że każdy pośrednik widzi pełny URL, jest równie błędne jak zakładanie, że nikt nic nie widzi.
Identyfikatory kont, etykiety urządzeń i identyfikatory diagnostyczne często żyją w systemach zarządzania, a nie w polach pakietów. Specyfikacja protokołu nie opisuje otaczającej jej analityki. Tunel, który ukrywa adresy przed siecią dostępu, nadal może je ujawnić wyjściu, więc identyczne metadane mają różną wartość w różnych rękach.
Obserwowalne nie znaczy zachowane
Punkt końcowy może przetwarzać dane, aby dostarczać ruch, bez prowadzenia jego historii. Może też przez ograniczony czas zachowywać diagnostykę, sumy zbiorcze lub rekordy na konto. To różne zachowania o różnych konsekwencjach, a słowo anonimowy rzadko je rozróżnia. Pakiet przechodzący przez serwer nie pozostawia automatycznego zapisu, dokąd trafił.
Zapytaj, co jest zbierane, czy jest łączone z kontem, jak długo jest przechowywane i kto może to czytać. Suma dla wszystkich użytkowników odpowiada na inne pytanie niż opatrzony znacznikiem czasu zapis powiązany z jedną tożsamością. Ta różnica to różnica między polityką prywatności a zdaniem marketingowym.
Zapisz odpowiedź, zanim porównasz dostawców. Ustne zapewnienie nie jest polityką przechowywania.
Zadaj konkretne pytania o przechowywanie
Sformułuj pytania na piśmie, zanim porównasz produkty. Które zdarzenia są rejestrowane, z jaką szczegółowością, jak długo i pod czyją kontrolą? Czy dane są agregowane, próbkowane czy usuwane według harmonogramu? Czy operator może na żądanie przedstawić historię na konto?
Te odpowiedzi należą do protokołu decyzji. Bez nich porównanie jest konkursem sloganów.
Wytyczne dotyczące prywatności RFC 6973 to użyteczne ramy dla tych pytań, ponieważ oddzielają minimalizację danych od przechowywania i wtórnego wykorzystania. Lista, która podaje kraj wyjścia, mówi, skąd się łączysz. Nie mówi nic o tym, co ten operator przechowuje.