VPN-metadata: vad varje observatör fortfarande kan se
Kryptering döljer innehållet, inte att det finns en anslutning. Skilj mellan vad åtkomstnätet, VPN-utgången, resolvers och destinationen observerar, och vad var och en behåller.
Kryptering döljer vad du skickade, inte att du skickade något. Storlekar, timing och de yttre adresserna förblir tillgängliga för parter på olika punkter längs vägen. Varje observatör får en annan skiva, och integritetsfrågan är vad den skivan kan styrka. Börja med att namnge vem som tittar innan du bestämmer vad exponeringen betyder.
Namnge observatören före påståendet
Fyra positioner spelar roll i en typisk tunnel: ditt åtkomstnät, VPN-operatörens utgång, varje resolver som tar emot ett namn och destinationen själv. Var och en ser en annan kombination av källa, destination, namn, storlek och tid. Ett allmänt påstående om vad en VPN avslöjar är nästan alltid ett påstående om en av dessa positioner.
| Observer | Usually visible | Not visible |
|---|---|---|
| Access network | VPN endpoint, volume, timing | Inner destinations |
| VPN exit | Your traffic, destination addresses | Your home address |
| Resolver | The names it resolves | Your full page content |
| Destination | Exit address, request, protocol details | Your physical location |
Håll dem åtskilda i analysen. Att slå ihop dem ger påståenden som inte kan testas. En observatörs position avgör också vad en juridisk begäran senare kan få från dem.
Innehåll och destination är olika frågor
Kryptering skyddar nyttolasten i en anslutning, och HTTPS skyddar den igen i sitt eget utbyte. Destinationsadresser är dock routinginformation, och utgången måste vidarebefordra till dem. DNS-resolvers tar emot namnen de svarar på, och synligheten för andra värdnamn beror på protokollet som används. Att anta att varje mellanhand ser en fullständig URL är lika fel som att anta att ingen ser något.
Konto-ID:n, enhetsetiketter och diagnostiska ID:n lever ofta i administrationssystem i stället för i paketfält. En protokollspecifikation beskriver inte analysen runt den. En tunnel som döljer adresser för åtkomstnätet kan fortfarande exponera dem för utgången, så identiska metadata har olika värde i olika händer.
Observerbart är inte sparat
En slutpunkt kan bearbeta data för att leverera trafik utan att föra historik över det. Den kan också behålla diagnostik, samlade totaler eller poster per konto under en begränsad period. Det är olika beteenden med olika konsekvenser, och ordet anonym skiljer dem sällan. Ett paket som passerar en server lämnar ingen automatisk registrering av var det tog vägen.
Fråga vad som samlas in, om det kopplas till ett konto, hur länge det sparas och vem som kan läsa det. En totalsumma över alla användare besvarar en annan fråga än en tidsstämplad post knuten till en identitet. Den skillnaden är skillnaden mellan en integritetspolicy och en marknadsföringsmening.
Skriv ned svaret innan du jämför leverantörer. En muntlig försäkran är inte en bevarandepolicy.
Ställ konkreta frågor om bevarande
Skriv ned frågorna innan du jämför produkter. Vilka händelser loggas, med vilken detaljgrad, hur länge och under vems kontroll? Aggregeras data, samplas de eller raderas de enligt ett schema? Kan operatören på begäran ta fram historik per konto?
De svaren hör hemma i beslutsprotokollet. Utan dem är jämförelsen en tävling i slagord.
RFC 6973:s integritetsvägledning är en användbar ram för dessa frågor eftersom den skiljer dataminimering från bevarande och sekundär användning. En lista som namnger landet för en utgång berättar var du ansluter. Den säger ingenting om vad den operatören lagrar.