Кто видит ваш трафик через VPN? Четыре наблюдателя
Локальная сеть, оператор VPN, работодатель и пункт назначения видят каждый свой срез. Сравните их, прежде чем доверять туннелю в вопросах приватности.
Туннель меняет место, где ваш трафик становится наблюдаемым. Он не делает его ненаблюдаемым, и сторона, получающая видимость, — это та, через которую вы направили трафик. Стоит ли такой обмен, зависит от того, какому участку вы не доверяете, поэтому полезное сравнение — между наблюдателями, а не между брендами.
На одном соединении сидят четыре стороны
Проследите запрос от ноутбука наружу, и появятся четыре позиции: сеть доступа, к которой вы подключились, выход VPN, корпоративная среда, если устройство управляется, и сам пункт назначения. Каждая занимает своё место на пути, поэтому каждая собирает свой тип доказательств. Таблица — это весь аргумент в одном взгляде.
| Observer | Sees | Does not see |
|---|---|---|
| Local network and ISP | That a tunnel exists, its endpoint, volume and timing | Destinations carried inside the tunnel |
| VPN operator | Source address, destinations, unencrypted content | Content protected end to end by TLS |
| Managed employer | Device telemetry, DNS and proxy logs, policy decisions | Nothing about the device is hidden from its owner |
| Destination | Exit address, account, cookies, client fingerprint | Who is behind the exit address |
Читайте таблицу от угрозы наружу. Если беспокоит Wi-Fi в кафе, меняется первая строка; если беспокоит провайдер, вы заменили одного оператора на другого и вторая строка теперь важнее. Строки не соревнуются; каждая описывает свою позицию на одном и том же пути.
Сеть доступа по-прежнему видит туннель
Ваш провайдер или сеть отеля видит подключение к IP-адресу, переданные байты и время их движения. Она не видит сайты внутри туннеля при условии, что разрешение имён тоже идёт внутри него, а пункт назначения достигается через выход, а не напрямую.
Две утечки выживают чаще, чем люди ожидают. DNS-запросы, отправленные локальному резолверу, по-прежнему называют сайты, а имя сервера в обычном рукопожатии TLS читается на пути, если не используется зашифрованное приветствие клиента. Ни то ни другое не исправляется установкой клиента; оба вопроса — вопросы настройки.
Оператор VPN и работодатель за ним
Коммерческий провайдер стоит ровно там, где стоял ваш провайдер: он пересылает ваши пакеты и может читать всё, что не зашифровано отдельно. Пароль, введённый в простую форму HTTP, читается на выходе, хотя первый участок был зашифрован. Туннель переместил доверие, он не удалил уязвимость. Прочитайте политику журналирования провайдера, прежде чем предполагать, что замена что-то улучшила.
На управляемом рабочем ноутбуке организация владеет конечной точкой, поэтому управление устройствами, журналирование DNS и записи прокси наблюдают за ним независимо от того, подключён туннель или нет. Личный VPN не делает управляемое устройство приватным, и во многих сетях это нарушение политики, а не мера приватности.
Трафик других устройств в вашем доме не виден этому работодателю, если рабочий ноутбук намеренно не служит их шлюзом. Это различие важно, когда домохозяйство делит одно подключение и предполагает худшее.
Пункт назначения и соседи на выходе
Сайт, который вы посещаете, видит адрес выхода, учётную запись, с которой вы вошли, файлы cookie и характеристики браузера. Туннель меняет только первый пункт, а вход всё равно связывает адрес выхода с вами.
Общие сервисы добавляют более тонкий риск. Если провайдер не изолирует клиентов друг от друга, машина, слушающая порт, может быть доступна другим клиентам на том же выходе. Блокировка входящего трафика по умолчанию в межсетевом экране хоста закрывает большую часть этого риска. Проверить это — значит подключить второе устройство к тому же сервису и попытаться достучаться до слушающего порта.
Некоторые вещи не меняются никогда: идентификаторы учётной записи, отслеживание на уровне приложений и знание самого телефона о том, что он пересылает трафик, когда вы делитесь подключением. Туннель — это решение о маршрутизации, а не смена личности.
Выберите наблюдателя, от которого прячетесь, прежде чем выбирать продукт. Если это локальная сеть, поможет почти любой правильно настроенный выход. Если это журналирование самого провайдера, договор — часть решения. Если это ваш работодатель, никакой личный туннель не справится.