Что может видеть ваш VPN-провайдер, а что нет
Выходной узел видит адреса, время и, если не используется Encrypted Client Hello, имя сайта в рукопожатии TLS. Хранение — отдельный вопрос.
Ваш туннель не пускает локальную сеть в ваш трафик. Но он не убирает компанию на другом конце, которая обрабатывает каждый пакет до того, как он попадёт в открытый интернет. Эта позиция одновременно и бизнес-модель, и вопрос приватности. Поэтому полезный вопрос не в том, может ли провайдер вас видеть, а в том, что он видит, что может назвать и что хранит.
Куда на самом деле переходит доверие
Шифрование идёт от вашего устройства до сервера провайдера, и этот внешний участок — всё, что вообще видит ваша локальная сеть. Провайдер держит другой конец участка, поэтому расшифровывает туннель и передаёт ваши пакеты дальше. В этом нет изъяна; это определение услуги, которую вы купили. Доверие переместилось от местного оператора к оператору выхода, а не исчезло.
С этой позиции он узнаёт ваш адрес источника, когда вы подключились, примерно сколько передали и к каким назначениям обращались. Ничего из этого не требует читать ваши сообщения, и в этом смысл разделения категорий. Интересные различия между провайдерами касаются того, что происходит с этими наблюдениями потом.
Что выход обрабатывает по необходимости
Упорядочьте категории по тому, насколько надёжно выход может их видеть. Ни одна строка не требует взлома шифрования, и у каждой свой ответ на вопрос, можно ли её вообще избежать.
| Category | Visible at the exit | Why |
|---|---|---|
| Your public address | Always | It is the address the tunnel arrives from |
| Connection times and volume | Always | Accounting data, not content |
| Destination IP addresses | Always | The exit has to route the packets |
| HTTPS hostname (SNI) | Normally, unless ECH is used | Sent in the clear in the TLS ClientHello |
| DNS names | Only if DNS is plaintext | DoH or DoT hides the query; plaintext is readable by the forwarder |
| Page paths and form contents | Not normally | Protected by the destination site's TLS session |
Четвёртая строка — то, что упускают большинство мысленных моделей. Современный браузер помещает имя сайта в ClientHello, первое сообщение рукопожатия TLS, и это поле читается на выходе даже тогда, когда каждый запрос DNS зашифрован от конца до конца. Если Encrypted Client Hello не согласован, имя идёт открытым текстом рядом с адресом назначения. Зашифрованный DNS меняет то, кто видит запрос, а не то, кто видит имя.
То же верно для сертификатов в более старых соединениях: TLS 1.3 шифрует сертификат сервера, тогда как рукопожатие TLS 1.2 может раскрыть имя наблюдателю, который записывает поток. И то и другое — факты транспорта, а не политика провайдера.
Что покрывает TLS, а что нет
Когда сайт отдаёт HTTPS, ваш браузер строит соединение TLS с конечной точкой этого сайта, а не с сервером VPN. Провайдер передаёт зашифрованные записи и узнаёт адрес назначения, момент времени и примерные размеры. Имя сайта едет в ClientHello, если ECH не задействован, а тело страницы остаётся зашифрованным в обоих случаях. Неожиданный корневой сертификат меняет эту границу, поэтому предупреждения о сертификатах заслуживают уважения.
У простого HTTP такой защиты за выходом нет. Туннель защищает участок до провайдера, и после этого запрос идёт точно так, как шёл бы без VPN. ECH этого не исправляет, потому что защищает имя, а не содержимое.
Хранение — отдельный вопрос от видимости
Оператор может обрабатывать данные о соединениях в памяти и ничего не хранить или хранить подмножество и точно описывать его как не историю просмотров. Читайте заявление об отсутствии журналов по категориям, а не по лозунгам: записи о соединениях, отметки времени, объёмы, данные о назначениях, идентификаторы учётной записи и сообщения поддержки — всё считается. Провайдер может честно не вести журналы просмотров и при этом хранить запись учётной записи и метаданные, нужные для работы службы. Видимость не говорит вам, какая из этих категорий хранится.
Аудит — это доказательство о системах и временном окне, которое он покрыл, а клиентский код с открытым исходным кодом описывает клиента, а не серверы. И то и другое полезно, и ни одно не говорит за каждую систему хранения за выходом. Спрашивайте об объёме аудита, а не о его значке.
Вопросы, которые различают провайдеров
Спросите, что хранится, как долго и кто может это получить. Спросите, кто управляет выходом, потому что запись в каталоге, разработчик приложения и человек, который держит конкретный сервер, могут быть тремя разными сторонами. Спросите, как обрабатывается DNS и поддерживается ли ECH на тех путях, которыми вы пользуетесь, поскольку ClientHello открытым текстом называет сайт даже без запроса DNS. Спросите, что происходит при юридическом запросе, и читайте ответ как описание возможностей, а не намерений.
Руководство EFF по выбору VPN — разумный контрольный список для этих вопросов, и это рамка, а не приговор какой-либо службе. Маркетинговая страница не является политикой хранения. Ничто из этого не делает VPN бесполезным; это меняет, кому вы должны доверять и в чём.