Co VPN ukrywa, a co zostawia na widoku
VPN ukrywa twój cel przed siecią dostępową i zmienia twój adres IP wyjścia. Nie ukrywa kont, plików cookie, stanu urządzenia ani tego, co widzi operator.
Twierdzenie, że VPN czyni cię anonimowym, to najdroższy mit prywatności konsumenckiej, ponieważ jest w połowie prawdziwe, a fałszywa połowa to ta, na której ludzie polegają. Tunel naprawdę ukrywa twój cel przed siecią, w której siedzisz, i ukrywa twój domowy adres przed stroną, którą odwiedzasz. Nie ukrywa jednak, kim jesteś przy logowaniu, co niesie twoja przeglądarka ani co może zaobserwować operator VPN. Użyteczne pytanie nigdy nie brzmi, czy VPN cię ukrywa, ale przed jakim obserwatorem, dla jakiego ruchu.
Mit: tunel to przełącznik anonimowości
VPN szyfruje ścieżkę między twoim urządzeniem a serwerem VPN, a następnie przekazuje twoje żądania z adresu serwera. Wszystko, co wysyłasz tą ścieżką, jest ukryte przed operatorem Wi-Fi i dostawcą internetu przed tunelem. To realna zmiana, i dlatego sieć hotelowa nie widzi już, jakie strony otwierasz. To nie anonimowość, ponieważ tunel przenosi punkt obserwacji, zamiast go usuwać.
Ta poprawka ma znaczenie w praktyce. Jeśli logujesz się do konta służbowego przez VPN, strona nadal zna konto. Jeśli twoja przeglądarka trzyma plik cookie sieci reklamowej, tunel go nie usuwa. Jeśli klient jest skonfigurowany tak, by wyłączać ruch lokalny, ten ruch nigdy nie wchodzi do tunelu. Zamknięta kłódka opisuje tunel, a nie sumę tego, co ujawniłeś.
Co sieć dostępowa traci, a co zachowuje
Sieć dostępowa, czyli operator Wi-Fi lub dostawca internetu, który niesie twoje połączenie do serwera VPN, nadal widzi, że połączenie VPN istnieje. Może rejestrować adres punktu końcowego, czas połączenia, długość sesji i w przybliżeniu ilość przesłanych danych. Analiza ruchu w takiej formie może być pouczająca nawet wtedy, gdy treść jest nieczytelna, dlatego szyfrowane i niewidoczne to dwa różne twierdzenia.
Zachowuje też wszystko, co powiedziałeś mu bezpośrednio: logowanie do portalu captive, numer pokoju, opłatę za dostęp. I nadal może widzieć DNS, jeśli klient lub resolver systemowy wysyła zapytania poza tunelem. Ten wyciek jest częsty w konfiguracjach dzielonego tunelu i na urządzeniach, które trzymają serwer DNS routera lub operatora. Sprawdź resolver używany w trakcie połączenia, nie tylko adres wyjścia.
| Observer | Still sees | Hidden by the tunnel |
|---|---|---|
| Access network | VPN endpoint, timing, volume, portal login | Destination hostnames and content |
| Website | Exit address, account, cookies, fingerprint | Your ordinary public address |
| VPN operator | Destination IP, often the hostname, DNS if used | HTTPS content, unless it intercepts TLS |
| Device | History, app data, permissions, screen | Nothing |
Co strona wciąż rozpoznaje
Strona widzi adres wyjścia serwera VPN, a nie twój domowy adres, w połączeniach korzystających z tunelu. To cała zmiana na poziomie IP. To, co widzi poza adresem, się nie zmieniło: konto, na które się logujesz, wcześniej ustawione pliki cookie, przeglądarka i system operacyjny, które prezentujesz, oraz czas twoich żądań. Strona, która już cię zna, nie staje się obca, bo zmienił się adres źródłowy.
Lokalizacja zasługuje na własną linię. Strona, która pyta przeglądarkę o lokalizację, dostaje odpowiedź kontrolowaną przez zgodę przeglądarki, a nie przez VPN. GPS w telefonie jest niezależny od tunelu. Dlatego adres geolokalizowany w innym kraju, podczas gdy mapa wciąż pokazuje twoje miasto, nie jest awarią VPN; to dwa różne kanały lokalizacji, które się nie zgadzają.
Odcisk palca to druga połowa. Rozmiar ekranu, czcionki, strefa czasowa, język i wynik canvas mogą rozróżniać przeglądarki nawet wtedy, gdy adres jest dzielony z tysiącami innych użytkowników. VPN zmienia jedno wejście tego profilu, a resztę zostawia nietkniętą.
Co może zobaczyć operator
Operator kończy twój tunel i przekazuje żądanie, więc siedzi tam, gdzie kiedyś siedział twój dostawca internetu. Może widzieć adresy docelowe i, bez szyfrowanego client hello, nazwy hostów, o które prosisz; widzi zapytania DNS, jeśli używasz jego resolvera; widzi wolumen i czas. Nie może czytać treści sesji HTTPS bez przechwycenia jej certyfikatem, któremu ufa twoje urządzenie, a to inny i głośniejszy atak.
Widoczność to nie przechowywanie. Dostawca może technicznie móc zaobserwować żądanie i mimo to go nie rejestrować, albo rejestrować metadane połączenia, a treść wyrzucać. Uczciwe pytanie brzmi, co polityka i jurysdykcja dostawcy każą przechowywać, a plakietka bez logów na to nie odpowiada. Traktuj operatora jako stronę, której sam wybierasz powierzenie swoich metadanych.
Co zachowuje urządzenie, z tunelem lub bez
Nic z tunelu nie trafia do wnętrza urządzenia. Historia przeglądania zostaje w przeglądarce, pobrane pliki zostają w systemie plików, a aplikacja z dostępem do mikrofonu lub ekranu zachowuje ten dostęp. Oprogramowanie monitorujące na komputerze może czytać dane przed szyfrowaniem lub po odszyfrowaniu, dlatego VPN nie jest obroną przed przejętym punktem końcowym.
To samo dotyczy kont. Plik cookie sesji skopiowany z urządzenia działa z każdego adresu, a hasło używane ponownie na różnych stronach łączy tożsamości, których nie rozdziela żaden tunel. Jeśli zagrożeniem, które cię interesuje, jest ktoś, kto trzyma urządzenie, VPN tego nie rozwiązuje.
Sprawdź zasięg, który naprawdę kupiłeś
Sprawdź właściwości, na których polegasz, a nie twierdzenie marketingowe. Przy włączonym tunelu sprawdź adres publiczny, resolver DNS i ścieżkę IPv6. Tunel tylko IPv4 w sieci dwustosowej może pozostawić ruch IPv6 całkowicie poza nim. Przewodnik EFF po wyborze VPN stawia to samo pytanie jako model zagrożeń, a nie jako ranking produktów.
Potem sprawdź zachowanie przy awarii. Odłącz tunel i potwierdź, czy ruch się zatrzymuje, czy wraca na ścieżkę bezpośrednią; zależy to od ustawienia kill switch w kliencie, a nie od nazwy protokołu. Na koniec wypisz aplikacje i prefiksy, które klient wyłącza. Dzielony tunel to miejsce, gdzie mieszka większość niespodzianek, ponieważ zasięg, który kupiłeś, to zasięg, który klient jest skonfigurowany dostarczać.