Čo VPN skrýva a čo necháva na očiach
VPN skryje vašu destináciu pred prístupovou sieťou a vymení vašu výstupnú IP. Neskrýva účty, cookies, stav zariadenia ani to, čo vidí operátor.
Tvrdenie, že vás VPN robí anonymnými, je najdrahší mýtus v ochrane súkromia spotrebiteľov, pretože je z polovice pravdivé a nepravdivá polovica je práve tá, na ktorú sa ľudia spoliehajú. Tunel skutočne skrýva vašu destináciu pred sieťou, v ktorej sedíte, a skrýva vašu domovskú adresu pred stránkou, ktorú navštevujete. Neskrýva však, kým ste pri prihlásení, čo nesie váš prehliadač, ani čo môže pozorovať operátor VPN. Užitočná otázka nikdy nie je, či vás VPN skrýva, ale pred ktorým pozorovateľom, pre akú prevádzku.
Mýtus: tunel je vypínač anonymity
VPN šifruje cestu medzi vaším zariadením a serverom VPN a potom preposiela vaše požiadavky z adresy servera. Všetko, čo touto cestou pošlete, je skryté pred operátorom Wi-Fi a pred poskytovateľom pripojenia pred tunelom. To je skutočná zmena, a preto hotelová sieť už nevidí, ktoré stránky otvárate. Nie je to anonymita, pretože tunel presúva miesto pozorovania, namiesto toho, aby ho odstránil.
Táto oprava je v praxi dôležitá. Ak sa cez VPN prihlásite do pracovného účtu, stránka účet stále pozná. Ak prehliadač drží cookie reklamnej siete, tunel ju nevymaže. Ak je klient nastavený tak, aby vylučoval miestnu prevádzku, táto prevádzka do tunela nikdy nevstúpi. Zamknutá visiaca zámka opisuje tunel, nie súčet toho, čo ste odhalili.
Čo prístupová sieť stráca a čo si ponecháva
Prístupová sieť, teda operátor Wi-Fi alebo poskytovateľ, ktorý nesie vaše pripojenie k serveru VPN, stále vidí, že pripojenie VPN existuje. Môže zaznamenať adresu koncového bodu, kedy ste sa pripojili, ako dlho relácia trvala a približne koľko dát prešlo. Analýza prevádzky takého tvaru môže byť informačne hodnotná aj vtedy, keď je obsah nečitateľný, a preto sú šifrované a neviditeľné odlišné tvrdenia.
Zároveň si uchováva všetko, čo ste jej povedali priamo: prihlásenie do captive portálu, číslo izby, platbu za prístup. A stále môže vidieť DNS, ak klient alebo systémový resolver posiela dopyty mimo tunela. Tento únik je bežný pri nastaveniach rozdeleného tunela a na zariadeniach, ktoré si držia DNS server routera alebo operátora. Skontrolujte resolver, ktorý sa používa počas pripojenia, nielen výstupnú adresu.
| Observer | Still sees | Hidden by the tunnel |
|---|---|---|
| Access network | VPN endpoint, timing, volume, portal login | Destination hostnames and content |
| Website | Exit address, account, cookies, fingerprint | Your ordinary public address |
| VPN operator | Destination IP, often the hostname, DNS if used | HTTPS content, unless it intercepts TLS |
| Device | History, app data, permissions, screen | Nothing |
Čo webová stránka stále rozpoznáva
Stránka vidí výstupnú adresu servera VPN, nie vašu domovskú adresu, pri spojeniach, ktoré idú tunelom. To je celá zmena na úrovni IP. Čo vidí za adresou, sa nezmenilo: účet, do ktorého sa prihlasujete, cookies, ktoré predtým nastavila, prehliadač a operačný systém, ktoré predkladáte, a časovanie vašich požiadaviek. Stránka, ktorá vás už pozná, sa nestane cudzincom preto, že sa zmenila zdrojová adresa.
Poloha si zaslúži vlastný riadok. Stránka, ktorá sa prehliadača pýta na polohu, dostane odpoveď riadenú povolením prehliadača, nie VPN. GPS v telefóne je nezávislé od tunela. Adresa, ktorá sa geolokalizuje do inej krajiny, zatiaľ čo mapa stále ukazuje vaše mesto, teda nie je poruchou VPN; sú to dva rôzne kanály polohy, ktoré si odporujú.
Odtlačok prsta je druhá polovica. Veľkosť obrazovky, fonty, časové pásmo, jazyk a výstup canvasu môžu rozlíšiť prehliadače, aj keď je adresa zdieľaná s tisíckami iných používateľov. VPN mení jeden vstup tohto profilu a zvyšok necháva nedotknutý.
Čo môže operátor vidieť
Operátor ukončuje váš tunel a preposiela požiadavku, takže sedí tam, kde predtým sedel váš poskytovateľ pripojenia. Vidí cieľové adresy a bez šifrovaného klientského pozdravu aj názvy hostiteľov, ktoré žiadate; vidí DNS dopyty, ak používate jeho resolver; vidí objem a časovanie. Nemôže čítať obsah relácie HTTPS bez toho, aby ju zachytil certifikátom, ktorému vaše zariadenie dôveruje, a to je iný a hlučnejší útok.
Viditeľnosť nie je uchovávanie. Poskytovateľ môže byť technicky schopný požiadavku pozorovať a napriek tomu ju nezaznamenať, alebo zaznamenávať metadáta spojenia a obsah zahadzovať. Poctivá otázka je, čo politika a jurisdikcia poskytovateľa vyžadujú uchovávať, a odznak bez záznamov na to neodpovedá. Berte operátora ako stranu, ktorej sa sami rozhodujete zveriť svoje metadáta.
Čo si zariadenie ponecháva, s tunelom aj bez neho
Nič z tunela sa nedostane dovnútra zariadenia. História prehliadania zostáva v prehliadači, sťahovania zostávajú v súborovom systéme a aplikácia s prístupom k mikrofónu alebo obrazovke si tento prístup ponecháva. Monitorovací softvér v počítači môže čítať dáta pred šifrovaním alebo po dešifrovaní, a preto VPN nie je obrana proti kompromitovanému koncovému bodu.
To isté platí pre účty. Relačná cookie skopírovaná zo zariadenia funguje z akejkoľvek adresy a heslo znovu použité na viacerých stránkach spája identity, ktoré žiadny tunel neoddeľuje. Ak je hrozbou, ktorá vás zaujíma, niekto, kto drží zariadenie, VPN to nerieši.
Otestujte pokrytie, ktoré ste skutočne kúpili
Testujte vlastnosti, na ktoré sa spoliehate, namiesto marketingového tvrdenia. So zapnutým tunelom skontrolujte verejnú adresu, resolver DNS a cestu IPv6. Tunel iba s IPv4 v sieti s duálnym zásobníkom môže nechať prevádzku IPv6 úplne mimo. Sprievodca EFF pri výbere VPN kladie rovnakú otázku ako model hrozieb, nie ako rebríček produktov.
Potom otestujte správanie pri zlyhaní. Odpojte tunel a overte, či sa prevádzka zastaví alebo sa vráti na priamu cestu; závisí to od nastavenia kill switch v klientovi, nie od názvu protokolu. Nakoniec vypíšte aplikácie a prefixy, ktoré klient vylučuje. Rozdelený tunel je miesto, kde žije väčšina prekvapení, pretože pokrytie, ktoré ste kúpili, je pokrytie, ktoré je klient nastavený dodávať.