Môže prevádzkovateľ VPN vidieť, ktoré stránky navštevujete?

Spýtajte sa, čo VPN môže vidieť, a odpoveď závisí od toho, kde stojíte na ceste. Na vrstve relácie má prevádzkovateľ udalosti autentifikácie a počty bajtov. Na vrstve paketov má cieľové adresy a čas. Na vrstve DNS môže mať samotné názvy. Každá vrstva odpovedá na inú otázku a žiadny prepínač vás medzi nimi nepresúva.

Určite vrstvu skôr, než niečo tvrdíte

To isté pripojenie vytvára v každom bode iné záznamy a tvrdenie o súkromí má zmysel len vtedy, keď ten bod pomenuje. Čítajte tabuľku stĺpec po stĺpci: čo na tej vrstve existuje, čo tam prevádzkovateľ môže vidieť a čo tie isté záznamy stále nedokážu povedať.

Čítanie jednej vrstvy ako celkového obrazu je začiatok prehnaných tvrdení aj falošného pokoja. Poskytovateľ, ktorý hovorí, že nezaznamenáva prehliadanie, môže byť presný v otázke logovania URL a napriek tomu uchovávať záznamy relácií, a zachytenie paketov, ktoré ukazuje len adresy, sa bez reverzných vyhľadávaní a dohadov nestane históriou prehliadania.

Pri hodnotení politiky nájdite vetu, ktorá opisuje každú vrstvu. Ak ich politika neoddeľuje, spýtajte sa, aké záznamy existujú, namiesto prijatia všeobecného tvrdenia o šifrovaní.

Zoznam relácií: čo uchováva bežný server OpenVPN

Predvolene server OpenVPN nezachytáva prevádzku. Bežným výstupom je zoznam relácií: účet, ktorý sa autentifikoval, zdrojová adresa, z ktorej prišiel, časové značky začiatku a konca, pridelená adresa tunela a súčty bajtov v oboch smeroch. To je zoznam relácií, nie zoznam cieľov.

Možnosti logovania môžu pridať podrobnosti. Vyššia úroveň podrobnosti píše viac o podaní ruky a stavový súbor môže uviesť pripojených klientov, ale ani jedno neurobí server transparentným proxy. Na vytvorenie URL treba ukončiť TLS alebo spustiť explicitné proxy, a obe menia usporiadanie dôvery, a nie zapínajú skrytú funkciu.

Preto je presná verzia tvrdenia, že neexistuje log prehliadania, užšia, než znie. Server nepozná stránku, ale vie, že relácia existovala a približne koľko dát cez ňu prešlo. Či sa tento záznam relácie uchováva a ako dlho, je samostatná otázka politiky.

Vnútorné a vonkajšie pakety sú rozdielne dôkazy

Zachytenie paketov je spôsob, ako vidieť, čo skutočne prechádza tunelom. Na serveri pomenujte rozhranie tunela a píšte do súboru, ktorý možno analyzovať offline:

sudo tcpdump -ni tun0 -w /tmp/tun.pcap
sudo tcpdump -r /tmp/tun.pcap -nn | head

Ten súbor obsahuje dešifrovanú vnútornú prevádzku: adresa tunela klienta ako zdroj, cieľová adresa a port, veľkosti paketov a čas. Neobsahuje cestu HTTP ani telo odpovede, ak sa TLS niekde neukončil, a to sú citlivé údaje, ktorých uchovávanie je rozhodnutie politiky, a nie pohodlie pri ladení.

Zachytenie na fyzickom rozhraní ukazuje niečo iné. Vidno tam vonkajšie pakety adresované koncovému bodu VPN, vnútri so zašifrovaným obsahom. Nesúvisiace adresy v tomto súbore sú normálne, keď existuje virtuálny adaptér, pretože zariadenie tunela nesie vnútorné toky a šifrovaný prenos tie vonkajšie.

Spýtajte sa, na akú otázku má zachytenie odpovedať. Používanie tunela aplikáciou je vidieť na virtuálnom adaptéri; dostupnosť tunela ku koncovému bodu je vidieť na fyzickom. Použitie ktoréhokoľvek súboru ako celkového obrazu dáva závery, ktoré údaje nepodporujú.

DNS je miesto, kde sa názvy stávajú viditeľnými

DNS zostáva praktickou výnimkou. Rozkladač vidí názvy, ktoré sa žiada rozložiť, takže kto ho prevádzkuje, zistí, aké stránky klient hľadá, aj keď sú neskoršie pripojenia šifrované. Zachytenie tunela ukazuje adresy; rozkladač ukazuje názvy.

Overte, akou adresou rozkladač dosiahol externú službu. Odpoveďou je výstupná adresa rozkladača a porovnanie s výstupom VPN povie, či dopyt prešiel tunelom:

dig +short myip.opendns.com @resolver1.opendns.com
dig example.com
sudo tcpdump -ni any udp port 53

Ak tá adresa zodpovedá lokálnemu pripojeniu a nie výstupu tunela, vyhľadávanie obišlo VPN a názov bol viditeľný na lokálnej ceste. Overenie zopakujte po aktualizácii klienta, pretože nová verzia môže zmeniť, ktorý rozkladač profil nainštaluje.

Šifrovaný DNS posúva viditeľnosť namiesto toho, aby ju odstraňoval. Sieť už dopyt nevidí, ale rozkladač áno, a otázka dôvery jednoducho mení ruky. Názov servera TLS v podaní ruky pripojenia je ďalší čiastočný signál: často prežije aj vtedy, keď je obsah nepriehľadný, takže cieľové adresy nie sú jediné metadáta, ktoré môže preposielajúci server pozorovať.

Tri typy záznamov a kto ich môže čítať

Účtovanie relácií, záznamy podľa názvu a dôkazy úniku sú tri rôzne produkty s tromi rôznymi povinnosťami. Záznamy relácií sú lacné a málo citlivé a odpovedajú, kto sa kedy pripojil. Záznamy podľa názvu vyžadujú logujúci rozkladač alebo explicitné proxy a vytvárajú povinnosť zverejnenia voči dotknutým ľuďom. Dôkaz úniku je test na strane klienta, ktorý porovnáva, čo rozkladač prezradí, s výstupom tunela.

Zapíšte, ktorý z tých troch prevádzkujete, kto ho môže čítať a ako dlho zostáva. Tvrdenia, že služba nevedie záznamy, opisujú jednu vrstvu a zostávajú pravdivé len v tom rozsahu. Ten istý poskytovateľ môže byť presný v otázke relácií a mýliť sa v otázke DNS.

Udržte test reprodukovateľný: ten istý dopyt na rozkladač, to isté rozhranie zachytávania a to isté porovnanie. Tvrdenie o súkromí, ktoré sa nedá otestovať na pomenovanej vrstve, je slogan, nie prevádzkový fakt.