O que uma VPN esconde e o que deixa à vista

A afirmação de que uma VPN torna você anônimo é o mito mais caro da privacidade do consumidor, porque é meio verdadeiro e a metade falsa é justamente a que as pessoas usam. Um túnel esconde de fato o seu destino da rede em que você está e esconde o seu endereço de casa do site que você visita. Mas não esconde quem você é ao entrar, o que o seu navegador carrega ou o que o operador da VPN pode observar. A pergunta útil nunca é se uma VPN esconde você, mas escondido de qual observador, para qual tráfego.

O mito: um túnel é um interruptor de anonimato

Uma VPN cifra o caminho entre o seu dispositivo e o servidor VPN e depois encaminha as suas requisições a partir do endereço do servidor. Tudo o que você envia por esse caminho fica oculto do operador de Wi-Fi e do provedor à frente do túnel. Isso é uma mudança real, e por isso uma rede de hotel já não vê quais sites você abre. Não é anonimato, porque o túnel desloca o ponto de observação em vez de eliminá-lo.

A correção importa na prática. Se você entra numa conta de trabalho por uma VPN, o site ainda conhece a conta. Se o seu navegador guarda um cookie de uma rede de anúncios, o túnel não o apaga. Se o cliente está configurado para excluir o tráfego local, esse tráfego nunca entra no túnel. Um cadeado fechado descreve o túnel, não a soma do que você revelou.

O que a rede de acesso perde e o que mantém

A rede de acesso, ou seja, o operador de Wi-Fi ou o provedor que leva a sua conexão até o servidor VPN, ainda vê que existe uma conexão VPN. Pode registrar o endereço do ponto final, quando você se conectou, quanto durou a sessão e aproximadamente quantos dados passaram. A análise de tráfego nessa forma pode ser informativa mesmo quando o conteúdo é ilegível, e por isso cifrado e invisível são afirmações diferentes.

Ela também guarda tudo o que você lhe disse diretamente: um login num portal cativo, um número de quarto, um pagamento pelo acesso. E pode ainda ver DNS se o cliente ou o resolvedor do sistema enviar consultas fora do túnel. Essa fuga é comum em configurações de túnel dividido e em dispositivos que mantêm o servidor DNS do roteador ou do provedor. Verifique o resolvedor em uso enquanto está conectado, não apenas o endereço de saída.

O que o site ainda reconhece

O site vê o endereço de saída do servidor VPN, não o seu endereço de casa, nas conexões que usam o túnel. Essa é toda a mudança no nível de IP. O que ele vê além do endereço não mudou: a conta em que você entra, os cookies que definiu antes, o navegador e o sistema operacional que você apresenta e o momento das suas requisições. Um site que já conhece você não vira um estranho porque o endereço de origem mudou.

A localização merece a sua própria linha. Um site que pede a localização ao navegador recebe uma resposta controlada pela permissão do navegador, não pela VPN. O GPS do telefone é independente do túnel. Por isso um endereço que se geolocaliza em outro país enquanto o mapa ainda mostra a sua cidade não é uma falha da VPN; são dois canais de localização diferentes que não concordam.

A impressão digital é a outra metade. O tamanho da tela, as fontes, o fuso horário, o idioma e a saída de canvas podem distinguir navegadores mesmo quando o endereço é partilhado com milhares de outros utilizadores. Uma VPN muda uma entrada desse perfil e deixa o resto intacto.

O que o operador pode ver

O operador termina o seu túnel e encaminha a requisição, por isso fica onde antes ficava o seu provedor. Pode ver os endereços de destino e, sem um hello de cliente cifrado, os nomes de host que pede; vê as consultas DNS se usar o resolvedor dele; vê o volume e o momento. Não pode ler o conteúdo de uma sessão HTTPS sem a intercetar com um certificado em que o seu dispositivo confie, e isso é um ataque diferente e mais ruidoso.

A visibilidade não é a retenção. Um provedor pode ser tecnicamente capaz de observar uma requisição e ainda assim não a registar, ou registar metadados de ligação e descartar o conteúdo. A pergunta honesta é o que a política e a jurisdição do provedor obrigam a guardar, e um selo sem registos não responde a isso. Trate o operador como uma parte a quem escolhe confiar os seus metadados.

O que o dispositivo guarda, com túnel ou sem ele

Nada do túnel chega ao interior do dispositivo. O histórico de navegação fica no navegador, as transferências ficam no sistema de ficheiros e uma aplicação com acesso ao microfone ou ao ecrã mantém esse acesso. O software de monitorização na máquina pode ler dados antes de serem cifrados ou depois de serem decifrados, e por isso uma VPN não é defesa contra um ponto final comprometido.

O mesmo se aplica às contas. Um cookie de sessão copiado do dispositivo funciona a partir de qualquer endereço, e uma palavra-passe reutilizada entre sites liga identidades que nenhum túnel separa. Se a ameaça que o preocupa é alguém que tem o dispositivo na mão, a VPN não a resolve.

Teste a cobertura que realmente comprou

Teste as propriedades em que confia em vez da afirmação de marketing. Com o túnel ativo, verifique o endereço público, o resolvedor DNS e o caminho IPv6. Um túnel só IPv4 numa rede de dupla pilha pode deixar o tráfego IPv6 completamente de fora. O guia da EFF para escolher uma VPN coloca a mesma pergunta como modelo de ameaça e não como classificação de produtos.

Depois teste o comportamento em caso de falha. Desligue o túnel e confirme se o tráfego para ou volta ao caminho direto; isso depende da definição do kill switch do cliente, não do nome do protocolo. Por fim, liste as aplicações e os prefixos que o cliente exclui. O túnel dividido é onde vive a maioria das surpresas, porque a cobertura que comprou é a que o cliente está configurado para entregar.