Kto może widzieć Twój ruch VPN? Czterech obserwatorów
Sieć lokalna, operator VPN, pracodawca i cel widzą każdy inny wycinek. Porównaj ich, zanim zaufasz tunelowi w kwestii prywatności.
Tunel zmienia to, gdzie Twój ruch staje się obserwowalny. Nie czyni go nieobserwowalnym, a strona, która zyskuje wgląd, to ta, przez którą skierowałeś ruch. Czy ta wymiana się opłaca, zależy od tego, któremu przeskokowi nie ufasz, więc użyteczne porównanie jest między obserwatorami, a nie między markami.
Cztery strony siedzą na jednym połączeniu
Prześledź żądanie z laptopa na zewnątrz, a pojawią się cztery pozycje: sieć dostępowa, do której dołączyłeś, wyjście VPN, środowisko firmowe, jeśli urządzenie jest zarządzane, i sam cel. Każda zajmuje inne miejsce na ścieżce, więc każda zbiera inny rodzaj dowodów. Tabela to cały argument w jednym spojrzeniu.
| Observer | Sees | Does not see |
|---|---|---|
| Local network and ISP | That a tunnel exists, its endpoint, volume and timing | Destinations carried inside the tunnel |
| VPN operator | Source address, destinations, unencrypted content | Content protected end to end by TLS |
| Managed employer | Device telemetry, DNS and proxy logs, policy decisions | Nothing about the device is hidden from its owner |
| Destination | Exit address, account, cookies, client fingerprint | Who is behind the exit address |
Czytaj tabelę od zagrożenia na zewnątrz. Jeśli problemem jest Wi-Fi w kawiarni, zmienia się pierwszy wiersz; jeśli problemem jest dostawca, zamieniłeś jednego operatora na drugiego i drugi wiersz liczy się teraz bardziej. Wiersze nie konkurują; każdy opisuje inną pozycję na tej samej ścieżce.
Sieć dostępowa nadal widzi tunel
Twój dostawca lub sieć hotelowa widzi połączenie z adresem IP, przesłane bajty i czasy, w których się poruszały. Nie widzi witryn wewnątrz tunelu, pod warunkiem że rozwiązywanie nazw również podróżuje w nim, a cel jest osiągany przez wyjście, a nie bezpośrednio.
Dwa wycieki przeżywają częściej, niż ludzie się spodziewają. Zapytania DNS wysyłane do lokalnego resolvera nadal nazywają witryny, a nazwa serwera w zwykłym uścisku TLS jest czytelna na ścieżce, chyba że używane jest szyfrowane powitanie klienta. Żadnego z nich nie naprawia instalacja klienta; oba są kwestiami konfiguracji.
Operator VPN i pracodawca za nim
Komercyjny dostawca stoi dokładnie tam, gdzie stał Twój dostawca: przekazuje Twoje pakiety i może czytać wszystko, co nie jest osobno szyfrowane. Hasło wpisane w zwykły formularz HTTP jest czytelne na wyjściu, choć pierwszy przeskok był szyfrowany. Tunel przeniósł zaufanie, nie usunął ekspozycji. Przeczytaj politykę rejestrowania dostawcy, zanim założysz, że zmiana coś poprawiła.
Na zarządzanym laptopie służbowym organizacja posiada punkt końcowy, więc zarządzanie urządzeniami, rejestrowanie DNS i zapisy proxy obserwują go niezależnie od tego, czy tunel jest podłączony. Prywatny VPN nie czyni zarządzanego urządzenia prywatnym, a w wielu sieciach jest to naruszenie polityki, a nie środek ochrony prywatności.
Ruch z innych urządzeń w Twoim domu nie jest widoczny dla tego pracodawcy, chyba że laptop służbowy celowo działa jako ich brama. Ta różnica ma znaczenie, gdy gospodarstwo domowe dzieli jedno połączenie i zakłada najgorsze.
Cel i sąsiedzi przy wyjściu
Witryna, którą odwiedzasz, widzi adres wyjścia, konto, na które się zalogowałeś, pliki cookie i cechy przeglądarki. Tunel zmienia tylko pierwszy element, a logowanie i tak wiąże adres wyjścia z Tobą.
Współdzielone usługi dodają subtelniejsze ryzyko. Jeśli dostawca nie izoluje klientów od siebie, maszyna nasłuchująca na porcie może być osiągalna dla innych klientów na tym samym wyjściu. Blokowanie ruchu przychodzącego domyślnie w zaporze hosta pokrywa większość tego ryzyka. Przetestowanie tego oznacza podłączenie drugiego urządzenia do tej samej usługi i próbę dotarcia do nasłuchującego portu.
Niektóre rzeczy nigdy się nie zmieniają: identyfikatory konta, śledzenie na poziomie aplikacji i wiedza samego telefonu, że przekazuje ruch, gdy udostępniasz połączenie. Tunel to decyzja o trasowaniu, a nie zmiana tożsamości.
Wybierz obserwatora, przed którym się ukrywasz, zanim wybierzesz produkt. Jeśli to sieć lokalna, pomaga niemal każde poprawnie skonfigurowane wyjście. Jeśli to rejestrowanie samego dostawcy, umowa jest częścią decyzji. Jeśli to Twój pracodawca, żaden prywatny tunel tego nie zrobi.