Ce ascunde un VPN și ce lasă la vedere

Afirmația că un VPN te face anonim este cel mai scump mit din confidențialitatea consumatorilor, pentru că este pe jumătate adevărată, iar jumătatea falsă este exact cea pe care oamenii se bazează. Un tunel ascunde într-adevăr destinația ta față de rețeaua în care stai și ascunde adresa ta de acasă față de site-ul pe care îl vizitezi. Nu ascunde cine ești când te conectezi, ce transportă browserul tău sau ce poate observa operatorul VPN. Întrebarea utilă nu este niciodată dacă un VPN te ascunde, ci ascuns față de ce observator, pentru ce trafic.

Mitul: tunelul este un întrerupător de anonimat

Un VPN criptează calea dintre dispozitivul tău și serverul VPN, apoi transmite cererile tale din adresa serverului. Tot ce trimiți pe acea cale este ascuns față de operatorul Wi-Fi și față de furnizorul aflat în fața tunelului. Este o schimbare reală, și de aceea o rețea de hotel nu mai vede ce site-uri deschizi. Nu este anonimat, pentru că tunelul mută punctul de observare în loc să îl elimine.

Corecția contează în practică. Dacă te conectezi la un cont de serviciu prin VPN, site-ul cunoaște în continuare contul. Dacă browserul tău păstrează un cookie de la o rețea de publicitate, tunelul nu îl șterge. Dacă clientul este configurat să excludă traficul local, acel trafic nu intră niciodată în tunel. Un lacăt închis descrie tunelul, nu suma a ceea ce ai dezvăluit.

Ce pierde și ce păstrează rețeaua de acces

Rețeaua de acces, adică operatorul Wi-Fi sau furnizorul care duce conexiunea ta până la serverul VPN, vede în continuare că există o conexiune VPN. Poate înregistra adresa punctului final, când te-ai conectat, cât a durat sesiunea și aproximativ câte date au trecut. Analiza traficului în această formă poate fi informativă chiar și când conținutul este ilizibil, și de aceea criptat și invizibil sunt afirmații diferite.

Păstrează și tot ce i-ai spus direct: o autentificare pe un portal captiv, un număr de cameră, o plată pentru acces. Și poate vedea în continuare DNS dacă clientul sau resolverul sistemului trimite interogări în afara tunelului. Această scurgere este obișnuită în configurațiile de tunel divizat și pe dispozitivele care păstrează un server DNS al routerului sau al furnizorului. Verifică resolverul folosit cât timp ești conectat, nu doar adresa de ieșire.

Ce recunoaște încă site-ul

Site-ul vede adresa de ieșire a serverului VPN, nu adresa ta de acasă, pentru conexiunile care folosesc tunelul. Aceasta este toată schimbarea la nivel de IP. Ce vede dincolo de adresă nu s-a schimbat: contul în care te conectezi, cookie-urile setate anterior, browserul și sistemul de operare pe care le prezinți și momentul cererilor tale. Un site care te cunoaște deja nu devine un străin pentru că adresa sursă s-a schimbat.

Locația merită o linie proprie. Un site care cere browserului locația primește un răspuns controlat de permisiunea browserului, nu de VPN. GPS-ul telefonului este independent de tunel. De aceea o adresă geolocalizată în altă țară în timp ce harta încă îți arată orașul nu este o defecțiune a VPN; sunt două canale de locație diferite care nu sunt de acord.

Amprenta digitală este cealaltă jumătate. Dimensiunea ecranului, fonturile, fusul orar, limba și ieșirea canvas pot distinge browserele chiar și când adresa este partajată cu mii de alți utilizatori. Un VPN schimbă o singură intrare a acelui profil și lasă restul intact.

Ce poate vedea operatorul

Operatorul încheie tunelul tău și transmite cererea, deci stă acolo unde stătea cândva furnizorul tău. Poate vedea adresele de destinație și, fără un client hello criptat, numele de host pe care le ceri; vede interogările DNS dacă folosești resolverul lui; vede volumul și momentul. Nu poate citi conținutul unei sesiuni HTTPS fără să o intercepteze cu un certificat în care dispozitivul tău are încredere, iar acesta este un atac diferit și mai zgomotos.

Vizibilitatea nu este păstrarea. Un furnizor poate fi tehnic capabil să observe o cerere și totuși să nu o înregistreze, sau să înregistreze metadatele conexiunii aruncând conținutul. Întrebarea onestă este ce obligă politica și jurisdicția furnizorului să păstreze, iar o insignă fără jurnale nu răspunde la asta. Tratează operatorul ca pe o parte căreia alegi să îi încredințezi metadatele tale.

Ce păstrează dispozitivul, cu tunel sau fără

Nimic din tunel nu ajunge în interiorul dispozitivului. Istoricul de navigare rămâne în browser, descărcările rămân în sistemul de fișiere, iar o aplicație cu acces la microfon sau la ecran păstrează acel acces. Software-ul de monitorizare de pe mașină poate citi date înainte de criptare sau după decriptare, și de aceea un VPN nu este o apărare împotriva unui punct final compromis.

Același lucru este valabil pentru conturi. Un cookie de sesiune copiat de pe dispozitiv funcționează de la orice adresă, iar o parolă reutilizată între site-uri leagă identități pe care niciun tunel nu le separă. Dacă amenințarea care te preocupă este cineva care ține dispozitivul în mână, VPN-ul nu o rezolvă.

Testează acoperirea pe care ai cumpărat-o cu adevărat

Testează proprietățile pe care te bazezi în locul afirmației de marketing. Cu tunelul activ, verifică adresa publică, resolverul DNS și calea IPv6. Un tunel doar IPv4 într-o rețea cu două stive poate lăsa traficul IPv6 complet în afara lui. Ghidul EFF pentru alegerea unui VPN pune aceeași întrebare ca model de amenințare, nu ca clasament de produse.

Apoi testează comportamentul la eșec. Deconectează tunelul și confirmă dacă traficul se oprește sau revine pe calea directă; asta depinde de setarea kill switch a clientului, nu de numele protocolului. În final, enumeră aplicațiile și prefixele pe care clientul le exclude. Tunelul divizat este locul unde trăiesc cele mai multe surprize, pentru că acoperirea pe care ai cumpărat-o este cea pe care clientul este configurat să o ofere.