Метаданные VPN: что каждый наблюдатель всё ещё может увидеть
Шифрование скрывает содержимое, а не сам факт соединения. Разделите, что видят сеть доступа, выход VPN, резолвер и пункт назначения, и что каждый из них хранит.
Шифрование скрывает, что вы отправили, а не то, что вы что-то отправили. Размеры, время и внешние адреса остаются доступны сторонам в разных точках пути. Каждый наблюдатель получает свой срез, и вопрос приватности в том, что этот срез может подтвердить. Начните с того, чтобы назвать, кто смотрит, прежде чем решать, что означает эта открытость.
Назовите наблюдателя до утверждения
В типичном туннеле важны четыре позиции: ваша сеть доступа, выход оператора VPN, любой резолвер, получающий имя, и сам пункт назначения. Каждая видит разное сочетание источника, назначения, имени, размера и времени. Общее утверждение о том, что раскрывает VPN, почти всегда является утверждением об одной из этих позиций.
| Observer | Usually visible | Not visible |
|---|---|---|
| Access network | VPN endpoint, volume, timing | Inner destinations |
| VPN exit | Your traffic, destination addresses | Your home address |
| Resolver | The names it resolves | Your full page content |
| Destination | Exit address, request, protocol details | Your physical location |
Держите их отдельно в анализе. Их объединение порождает утверждения, которые невозможно проверить. Позиция наблюдателя также определяет, что позднее сможет получить от него юридический запрос.
Содержимое и пункт назначения — разные вопросы
Шифрование защищает полезную нагрузку соединения, а HTTPS защищает её ещё раз в своём обмене. Однако адреса назначения — это маршрутная информация, и выход должен пересылать к ним. DNS-резолверы получают имена, на которые отвечают, а видимость других имён хостов зависит от используемого протокола. Предполагать, что каждый посредник видит полный URL, так же неверно, как предполагать, что никто ничего не видит.
Идентификаторы учётных записей, метки устройств и диагностические ID часто живут в системах управления, а не в полях пакетов. Спецификация протокола не описывает аналитику вокруг него. Туннель, скрывающий адреса от сети доступа, всё ещё может раскрыть их выходу, поэтому одинаковые метаданные имеют разную ценность в разных руках.
Наблюдаемое не хранится
Конечная точка может обрабатывать данные для доставки трафика, не ведя их историю. Она также может хранить диагностику, сводные итоги или записи по отдельным учётным записям в течение ограниченного времени. Это разное поведение с разными последствиями, и слово анонимный редко их различает. Пакет, проходящий через сервер, не оставляет автоматической записи о том, куда он отправился.
Спросите, что собирается, связывается ли это с учётной записью, как долго хранится и кто может это читать. Итог по всем пользователям отвечает на другой вопрос, чем запись с отметкой времени, привязанная к одной личности. Это различие и есть разница между политикой конфиденциальности и маркетинговой фразой.
Запишите ответ, прежде чем сравнивать провайдеров. Словесное заверение не является политикой хранения.
Задайте конкретные вопросы о хранении
Сформулируйте вопросы письменно, прежде чем сравнивать продукты. Какие события журналируются, с какой детализацией, как долго и под чьим контролем? Агрегируются ли данные, берутся ли выборки или они удаляются по расписанию? Может ли оператор по запросу предоставить историю по отдельной учётной записи?
Эти ответы относятся к записи решения. Без них сравнение превращается в конкурс лозунгов.
Руководство по конфиденциальности RFC 6973 — полезная основа для этих вопросов, поскольку оно отделяет минимизацию данных от хранения и вторичного использования. Список, в котором указана страна выхода, говорит, откуда вы подключаетесь. Он ничего не говорит о том, что хранит этот оператор.