Cine poate vedea traficul tău VPN? Patru observatori
Rețeaua locală, operatorul VPN, angajatorul și destinația văd fiecare altă porțiune. Compară-le înainte de a avea încredere într-un tunel pentru confidențialitate.
Un tunel schimbă locul unde traficul tău devine observabil. Nu îl face neobservabil, iar partea care câștigă vizibilitate este cea prin care ai direcționat traficul. Dacă acest schimb merită depinde de ce salt nu ai încredere, așa că comparația utilă este între observatori, nu între mărci.
Patru părți stau pe o singură conexiune
Urmărește o cerere de la laptop spre exterior și apar patru poziții: rețeaua de acces la care te-ai conectat, ieșirea VPN, mediul corporativ dacă dispozitivul este administrat și destinația însăși. Fiecare ocupă un loc diferit pe traseu, așa că fiecare colectează un alt tip de dovezi. Tabelul este întregul argument într-o singură privire.
| Observer | Sees | Does not see |
|---|---|---|
| Local network and ISP | That a tunnel exists, its endpoint, volume and timing | Destinations carried inside the tunnel |
| VPN operator | Source address, destinations, unencrypted content | Content protected end to end by TLS |
| Managed employer | Device telemetry, DNS and proxy logs, policy decisions | Nothing about the device is hidden from its owner |
| Destination | Exit address, account, cookies, client fingerprint | Who is behind the exit address |
Citește tabelul de la amenințare spre exterior. Dacă îngrijorarea este Wi-Fi-ul cafenelei, primul rând este ceea ce se schimbă; dacă îngrijorarea este furnizorul, ai înlocuit un operator cu altul iar al doilea rând contează acum mai mult. Rândurile nu concurează; fiecare descrie o poziție diferită pe același traseu.
Rețeaua de acces vede în continuare tunelul
Furnizorul tău sau rețeaua hotelului vede o conexiune către o adresă IP, octeții transferați și momentele în care s-au mișcat. Nu vede site-urile din interiorul tunelului, cu condiția ca și rezolvarea numelor să călătorească în interiorul lui și destinația să fie atinsă prin ieșire, nu direct.
Două scurgeri supraviețuiesc mai des decât se așteaptă oamenii. Interogările DNS trimise resolverului local încă numesc site-urile, iar numele serverului într-un handshake TLS obișnuit este lizibil pe traseu dacă nu se folosește salutul de client criptat. Niciuna nu se rezolvă instalând un client; ambele sunt chestiuni de configurare.
Operatorul VPN și angajatorul din spate
Un furnizor comercial stă exact acolo unde stătea furnizorul tău: îți transmite pachetele și poate citi tot ce nu este criptat separat. O parolă tastată într-un formular HTTP simplu este lizibilă la ieșire, chiar dacă primul salt a fost criptat. Tunelul a mutat încrederea, nu a eliminat expunerea. Citește politica de jurnalizare a furnizorului înainte de a presupune că schimbul a îmbunătățit ceva.
Pe un laptop de lucru administrat, organizația deține punctul final, așa că administrarea dispozitivului, jurnalizarea DNS și înregistrările proxy îl observă indiferent dacă un tunel este conectat sau nu. Un VPN personal nu face privat un dispozitiv administrat, iar în multe rețele este o încălcare a politicii, nu o măsură de confidențialitate.
Traficul de la alte dispozitive din casa ta nu este vizibil pentru acel angajator decât dacă laptopul de lucru acționează deliberat ca poartă a lor. Această distincție contează când o gospodărie împarte o singură conexiune și presupune ce e mai rău.
Destinația și vecinii de la ieșire
Site-ul pe care îl vizitezi vede adresa de ieșire, contul cu care te-ai autentificat, cookie-urile și caracteristicile browserului. Un tunel schimbă doar primul element, iar autentificarea leagă adresa de ieșire de tine oricum.
Serviciile partajate adaugă un risc mai subtil. Dacă furnizorul nu izolează clienții unii de alții, o mașină care ascultă pe un port poate fi accesibilă altor clienți de la aceeași ieșire. Blocarea traficului de intrare implicit la firewall-ul gazdei acoperă cea mai mare parte a acelui risc. Testarea înseamnă conectarea unui al doilea dispozitiv la același serviciu și încercarea de a atinge un port care ascultă.
Unele lucruri nu se schimbă niciodată: identificatorii de cont, urmărirea la nivel de aplicație și faptul că telefonul însuși știe că redirecționează trafic atunci când partajezi conexiunea. Un tunel este o decizie de rutare, nu o schimbare de identitate.
Alege observatorul de care te ascunzi înainte de a alege un produs. Dacă este rețeaua locală, aproape orice ieșire configurată corect ajută. Dacă este jurnalizarea furnizorului însuși, contractul face parte din decizie. Dacă este angajatorul tău, niciun tunel personal nu va face treaba.