Metadados de VPN: o que cada observador ainda pode ver
A cifragem esconde o conteúdo, não o fato de uma conexão. Separe o que a rede de acesso, a saída VPN, o resolvedor e o destino observam, e o que cada um retém.
A cifragem esconde o que você enviou, não o fato de ter enviado algo. Tamanhos, momento e endereços externos permanecem disponíveis para partes em pontos diferentes do caminho. Cada observador recebe uma fatia diferente, e a questão da privacidade é o que essa fatia pode sustentar. Comece por nomear quem olha antes de decidir o que a exposição significa.
Nomeie o observador antes da afirmação
Quatro posições importam num túnel típico: a sua rede de acesso, a saída do operador de VPN, qualquer resolvedor que receba um nome e o destino em si. Cada uma vê uma combinação diferente de origem, destino, nome, tamanho e tempo. Uma afirmação geral sobre o que uma VPN revela é quase sempre uma afirmação sobre uma dessas posições.
| Observer | Usually visible | Not visible |
|---|---|---|
| Access network | VPN endpoint, volume, timing | Inner destinations |
| VPN exit | Your traffic, destination addresses | Your home address |
| Resolver | The names it resolves | Your full page content |
| Destination | Exit address, request, protocol details | Your physical location |
Mantenha-as separadas na análise. Fundi-las produz afirmações que não podem ser testadas. A posição de um observador também decide o que um pedido legal poderá obter dele mais tarde.
Conteúdo e destino são perguntas diferentes
A cifragem protege o payload de uma conexão, e o HTTPS protege-o novamente no seu próprio intercâmbio. Os endereços de destino, porém, são informação de encaminhamento, e a saída tem de reenviar para eles. Os resolvedores DNS recebem os nomes a que respondem, e a visibilidade de outros nomes de anfitrião depende do protocolo usado. Supor que cada intermediário vê um URL completo é tão errado como supor que ninguém vê nada.
Identificadores de conta, etiquetas de dispositivo e IDs de diagnóstico vivem frequentemente em sistemas de gestão em vez de campos de pacote. Uma especificação de protocolo não descreve a analítica à sua volta. Um túnel que esconde endereços da rede de acesso ainda pode expô-los à saída, por isso metadados idênticos têm valor diferente em mãos diferentes.
Observável não é retido
Um ponto final pode processar dados para entregar tráfego sem manter um histórico deles. Também pode reter diagnósticos, totais agregados ou registos por conta durante um período limitado. São comportamentos diferentes com consequências diferentes, e a palavra anónimo raramente os distingue. Um pacote que passa por um servidor não deixa qualquer registo automático de onde foi.
Pergunte o que é recolhido, se é associado a uma conta, durante quanto tempo é retido e quem o pode ler. Um total de todos os utilizadores responde a uma pergunta diferente de um registo com marca temporal ligado a uma identidade. Essa distinção é a diferença entre uma política de privacidade e uma frase de marketing.
Escreva a resposta antes de comparar fornecedores. Uma garantia verbal não é uma política de retenção.
Faça perguntas específicas sobre a retenção
Ponha as perguntas por escrito antes de comparar produtos. Que eventos são registados, com que granularidade, durante quanto tempo e sob o controlo de quem? Os dados são agregados, amostrados ou eliminados segundo um calendário? Pode o operador produzir um histórico por conta se lhe for pedido?
Essas respostas pertencem ao registo da decisão. Sem elas, a comparação é um concurso de slogans.
As orientações de privacidade RFC 6973 são um enquadramento útil para estas perguntas porque separam a minimização de dados da retenção e do uso secundário. Uma listagem que indica o país de uma saída diz-lhe de onde se liga. Não diz nada sobre o que esse operador armazena.