Kto môže vidieť vašu prevádzku cez VPN? Štyria pozorovatelia
Lokálna sieť, prevádzkovateľ VPN, zamestnávateľ aj cieľ vidia každý iný výrez. Porovnajte ich, skôr než tunelu zveríte súkromie.
Tunel mení miesto, kde sa vaša prevádzka stáva pozorovateľnou. Nerobí ju nepozorovateľnou a strana, ktorá získa viditeľnosť, je tá, cez ktorú ste prevádzku smerovali. Či sa táto výmena vyplatí, závisí od toho, ktorému skoku nedôverujete, takže užitočné porovnanie je medzi pozorovateľmi, nie medzi značkami.
Na jednom spojení sedia štyri strany
Sledujte požiadavku z notebooku smerom von a objavia sa štyri pozície: prístupová sieť, ku ktorej ste sa pripojili, výstup VPN, firemné prostredie, ak je zariadenie spravované, a samotný cieľ. Každá zaujíma na ceste iné miesto, takže každá zhromažďuje iný druh dôkazov. Tabuľka je celý argument v jednom pohľade.
| Observer | Sees | Does not see |
|---|---|---|
| Local network and ISP | That a tunnel exists, its endpoint, volume and timing | Destinations carried inside the tunnel |
| VPN operator | Source address, destinations, unencrypted content | Content protected end to end by TLS |
| Managed employer | Device telemetry, DNS and proxy logs, policy decisions | Nothing about the device is hidden from its owner |
| Destination | Exit address, account, cookies, client fingerprint | Who is behind the exit address |
Čítajte tabuľku od hrozby smerom von. Ak ide o wi-fi v kaviarni, mení sa prvý riadok; ak ide o poskytovateľa, vymenili ste jedného prevádzkovateľa za iného a druhý riadok teraz záleží viac. Riadky nesúťažia; každý opisuje inú pozíciu na tej istej ceste.
Prístupová sieť tunel stále vidí
Váš poskytovateľ alebo hotelová sieť vidí spojenie na IP adresu, prenesené bajty a časy, kedy sa pohybovali. Nevidí stránky vnútri tunela, pokiaľ aj preklad mien putuje vnútri neho a cieľ sa dosahuje cez výstup, nie priamo.
Dva úniky prežívajú častejšie, než ľudia čakajú. Dotazy DNS odoslané lokálnemu resolveru stále pomenúvajú stránky a názov servera v bežnom TLS handshake je na ceste čitateľný, ak sa nepoužíva šifrovaný klientsky pozdrav. Ani jedno nevyrieši inštalácia klienta; oboje je otázka konfigurácie.
Prevádzkovateľ VPN a zamestnávateľ za ním
Komerčný poskytovateľ stojí presne tam, kde stál váš poskytovateľ: preposiela vaše pakety a môže čítať všetko, čo nie je zvlášť šifrované. Heslo napísané do obyčajného formulára HTTP je na výstupe čitateľné, aj keď bol prvý skok šifrovaný. Tunel presunul dôveru, neodstránil vystavenie. Prečítajte si zásady zaznamenávania poskytovateľa, skôr než budete predpokladať, že výmena niečo zlepšila.
Na spravovanom pracovnom notebooku vlastní koncový bod organizácia, takže správa zariadení, zaznamenávanie DNS a záznamy proxy ho pozorujú bez ohľadu na to, či je tunel pripojený. Osobná VPN neurobí spravované zariadenie súkromným a v mnohých sieťach je to porušenie zásad, nie opatrenie na ochranu súkromia.
Prevádzka z iných zariadení vo vašej domácnosti nie je pre tohto zamestnávateľa viditeľná, iba ak pracovný notebook zámerne funguje ako ich brána. Ten rozdiel je dôležitý, keď domácnosť zdieľa jedno pripojenie a predpokladá to najhoršie.
Cieľ a susedia na výstupe
Stránka, ktorú navštívite, vidí výstupnú adresu, účet, ktorým ste sa prihlásili, cookies a vlastnosti prehliadača. Tunel mení iba prvú položku a prihlásenie výstupnú adresu rovnako spojí s vami.
Zdieľané služby pridávajú jemnejšie riziko. Ak poskytovateľ neizoluje zákazníkov navzájom, stroj načúvajúci na porte môže byť dostupný ostatným zákazníkom na tom istom výstupe. Blokovanie prichádzajúcej prevádzky predvolene na firewalle hostiteľa pokrýva väčšinu tohto rizika. Otestovať to znamená pripojiť druhé zariadenie k tej istej službe a skúsiť dosiahnuť načúvajúci port.
Niektoré veci sa nikdy nemenia: identifikátory účtu, sledovanie na úrovni aplikácie a to, že telefón sám vie, že preposiela prevádzku, keď zdieľate pripojenie. Tunel je rozhodnutie o smerovaní, nie zmena identity.
Vyberte pozorovateľa, pred ktorým sa skrývate, skôr než vyberiete produkt. Ak je to lokálna sieť, pomôže takmer akýkoľvek správne nastavený výstup. Ak je to vlastné zaznamenávanie poskytovateľa, zmluva je súčasťou rozhodnutia. Ak je to váš zamestnávateľ, žiadny osobný tunel to nezvládne.