Ко може да види ваш VPN саобраћај? Четири посматрача
Локална мрежа, VPN оператер, послодавац и одредиште виде свако свој део. Упоредите их пре него што поверите тунелу у погледу приватности.
Тунел мења место на ком ваш саобраћај постаје видљив. Он га не чини невидљивим, а страна која добија видљивост је она кроз коју сте усмерили саобраћај. Да ли се та размена исплати зависи од тога ком делу пута не верујете, па је корисно поређење између посматрача, а не између брендова.
Четири стране седе на једној вези
Пратите захтев од лаптопа ка споља и појављују се четири позиције: приступна мрежа којој сте се придружили, VPN излаз, корпоративно окружење ако је уређај под управљањем, и само одредиште. Свака заузима друго место на путу, па свака прикупља другу врсту доказа. Табела је цео аргумент у једном погледу.
| Observer | Sees | Does not see |
|---|---|---|
| Local network and ISP | That a tunnel exists, its endpoint, volume and timing | Destinations carried inside the tunnel |
| VPN operator | Source address, destinations, unencrypted content | Content protected end to end by TLS |
| Managed employer | Device telemetry, DNS and proxy logs, policy decisions | Nothing about the device is hidden from its owner |
| Destination | Exit address, account, cookies, client fingerprint | Who is behind the exit address |
Читајте табелу од претње ка споља. Ако је брига Wi-Fi у кафићу, мења се први ред; ако је брига провајдер, ви сте заменили једног оператера другим и други ред сада више значи. Редови се не такмиче; сваки описује другу позицију на истом путу.
Приступна мрежа и даље види тунел
Ваш провајдер или хотелска мрежа види везу ка IP адреси, пренесене бајтове и времена када су се кретали. Не види сајтове унутар тунела, под условом да и разрешавање имена путује унутар њега и да се одредиште достиже кроз излаз, а не директно.
Два цурења преживљавају чешће него што људи очекују. DNS упити послати локалном резолверу и даље именују сајтове, а име сервера у обичном TLS руковању је читљиво на путу осим ако се не користи шифровани поздрав клијента. Ни једно се не решава инсталирањем клијента; оба су питања конфигурације.
VPN оператер и послодавац иза њега
Комерцијални провајдер стоји тачно тамо где је стајао ваш провајдер: прослеђује ваше пакете и може да чита све што није посебно шифровано. Лозинка откуцана у обичну HTTP форму је читљива на излазу иако је први део пута био шифрован. Тунел је преместио поверење, није уклонио изложеност. Прочитајте политику евидентирања провајдера пре него што претпоставите да је размена нешто побољшала.
На управљаном радном лаптопу организација поседује крајњу тачку, па управљање уређајем, DNS евидентирање и записи проксија посматрају га без обзира на то да ли је тунел повезан. Лични VPN не чини управљани уређај приватним, а на многим мрежама то је кршење политике, а не мера приватности.
Саобраћај других уређаја у вашем дому није видљив том послодавцу осим ако радни лаптоп намерно не делује као њихова капија. Та разлика је важна када домаћинство дели једну везу и претпоставља најгоре.
Одредиште и суседи на излазу
Сајт који посећујете види излазну адресу, налог са којим сте се пријавили, колачиће и карактеристике прегледача. Тунел мења само прву ставку, а пријава ипак повезује излазну адресу са вама.
Дељене услуге додају суптилнији ризик. Ако провајдер не изолује кориснике једне од других, машина која слуша на порту може бити доступна другим корисницима на истом излазу. Блокирање долазног саобраћаја подразумевано на заштитном зиду хоста покрива већину тог ризика. Тестирање значи повезивање другог уређаја на исту услугу и покушај достизања порта који слуша.
Неке ствари се никада не мењају: идентификатори налога, праћење на нивоу апликације и знање самог телефона да прослеђује саобраћај када делите везу. Тунел је одлука о рутирању, а не промена идентитета.
Изаберите посматрача од кога се кријете пре него што изаберете производ. Ако је локална мрежа, помаже готово сваки исправно конфигурисан излаз. Ако је евидентирање самог провајдера, уговор је део одлуке. Ако је ваш послодавац, ниједан лични тунел то неће урадити.