Quem pode ver o seu tráfego VPN? Quatro observadores

Um túnel muda onde o seu tráfego se torna observável. Não o torna inobservável, e a parte que ganha visibilidade é aquela por onde encaminhou o tráfego. Se essa troca vale a pena depende de qual salto você não confia, então a comparação útil é entre os observadores e não entre as marcas.

Quatro partes sentam-se numa ligação

Siga um pedido do portátil para fora e aparecem quatro posições: a rede de acesso a que se ligou, a saída da VPN, o ambiente empresarial se o dispositivo for gerido e o próprio destino. Cada uma ocupa um lugar diferente no caminho, por isso cada uma recolhe um tipo diferente de provas. A tabela é o argumento inteiro numa só vista.

Leia a tabela da ameaça para fora. Se a preocupação é o Wi-Fi do café, a primeira linha é o que muda; se a preocupação é o fornecedor, você trocou um operador por outro e a segunda linha agora importa mais. As linhas não competem; cada uma descreve uma posição diferente no mesmo caminho.

A rede de acesso continua a ver o túnel

O seu fornecedor ou a rede do hotel vê uma ligação a um endereço IP, os bytes transferidos e os momentos em que se moveram. Não vê os sites dentro do túnel, desde que a resolução de nomes também viaje dentro dele e o destino seja alcançado pela saída e não diretamente.

Duas fugas sobrevivem mais vezes do que as pessoas esperam. As consultas DNS enviadas ao resolver local continuam a nomear os sites, e o nome do servidor num aperto de mão TLS comum é legível no caminho, a menos que se use a saudação de cliente cifrada. Nenhuma delas se corrige instalando um cliente; ambas são questões de configuração.

O operador de VPN, e o empregador por trás

Um fornecedor comercial está exatamente onde estava o seu fornecedor: encaminha os seus pacotes e pode ler tudo o que não esteja cifrado em separado. Uma palavra-passe escrita num formulário HTTP simples é legível na saída, ainda que o primeiro salto estivesse cifrado. O túnel mudou a confiança, não eliminou a exposição. Leia a política de registos do fornecedor antes de assumir que a troca melhorou alguma coisa.

Num portátil de trabalho gerido, a organização possui o ponto final, por isso a gestão de dispositivos, o registo DNS e os registos de proxy observam-no quer haja um túnel ligado quer não. Uma VPN pessoal não torna privado um dispositivo gerido, e em muitas redes é uma violação de política e não uma medida de privacidade.

O tráfego de outros dispositivos na sua casa não é visível para esse empregador, a menos que o portátil de trabalho atue deliberadamente como a sua porta de entrada. Essa distinção importa quando uma casa partilha uma ligação e assume o pior.

O destino e os vizinhos na saída

O site que visita vê o endereço de saída, a conta com que iniciou sessão, os cookies e as características do navegador. Um túnel muda apenas o primeiro item, e iniciar sessão liga o endereço de saída a você de qualquer forma.

Os serviços partilhados acrescentam um risco mais subtil. Se o fornecedor não isola os clientes uns dos outros, uma máquina à escuta numa porta pode estar acessível a outros clientes na mesma saída. Bloquear o tráfego de entrada por predefinição na firewall do anfitrião cobre a maior parte desse risco. Testá-lo significa ligar um segundo dispositivo ao mesmo serviço e tentar alcançar uma porta à escuta.

Algumas coisas nunca mudam: os identificadores de conta, o rastreio ao nível da aplicação e o conhecimento do próprio telefone de que está a encaminhar tráfego quando partilha a ligação. Um túnel é uma decisão de encaminhamento, não uma mudança de identidade.

Escolha o observador de quem se esconde antes de escolher um produto. Se for a rede local, quase qualquer saída bem configurada ajuda. Se for o registo do próprio fornecedor, o contrato faz parte da decisão. Se for o seu empregador, nenhum túnel pessoal fará o trabalho.