Vad din leverantör fortfarande ser när du torrenterar via en VPN

Gå igenom frågorna i ordning: vad accessnätet kan observera, vad som lämnar tunneln utan det, vad namnsökningen avslöjar och vad peers och trackers ändå får veta. Varje svar är oberoende av de andra, och en VPN löser bara det första helt. Det fjärde är där de flesta förväntningarna tyst sviker, eftersom ingen tunnel tar bort ett kontonamn.

Börja med att avgöra vilken observatör som oroar dig, eftersom svaret ändras med observatören.

En anslutning ersätter många

När klienten verkligen är inne i tunneln ser accessnätet en enda ihållande krypterad anslutning till en enda VPN-adress. Volym, timing och det faktum att en VPN används förblir synliga; trackernas värdnamn, peer-adresser och filnamn inte. Det är en verklig förbättring, och en smalare än marknadsföringen antyder. Tunnelns operatör sitter i mitten och ser mer än accessnätet.

En förklaring om inga loggar beskriver lagringspolicy, inte teknisk synlighet. Det är olika påståenden, och bara det första är något en leverantör kan utlova.

Läckan kommer från bindningen, inte från tunneln

BitTorrent skapar en ström av kortlivade TCP- och UDP-anslutningar till peers, trackers, DHT-noder och lokal upptäckt. Bind klienten till den fysiska adaptern, eller starta om den när tunneln har fallit, och trafiken som uppstår är exakt det tunneln fanns för att dölja. Brandväggsregler är en svagare kontroll än de ser ut: en regel som bara matchar standardrutten, bara IPv4 eller bara nya anslutningar lämnar vägar öppna. Att binda klienten till tunnelns gränssnitt och verifiera den bindningen är det starkare mönstret.

Verifiera genom att medvetet stoppa tunneln och se om överföringarna stannar. Om de fortsätter var klienten aldrig inne. Upprepa efter en omstart av klienten och efter att en laptop vaknar, för det är då bindningarna brukar tappas.

DNS namnger webbplatsen utan att röra överföringen

Om namnsökningarna fortfarande går till den lokala resolvern annonserar frågan själv webbplatsen medan överföringen förblir krypterad. Att flytta uppslagningen in i tunneln, eller kryptera den, stänger det gapet. Ingen av dem gör något för en klient vars paket lämnar tunneln utanför. Kontrollera vilken resolver som används och vilket gränssnitt frågan lämnar från; de två kontrollerna besvarar olika frågor.

Ett namn som löses upp genom tunneln och en överföring som respekterar bindningen är separata egenskaper, och var och en kan svika ensam.

Svärmen och trackern ser olika saker

Adressutbyte är en del av protokollet, så peers registrerar vad de ser. Att ansluta från utgången ger dem utgången; att ansluta direkt ger hemadressen. DHT och peer-utbyte sprider den observationen vidare, och en senare session utan tunneln kan koppla samma klientport och version. Trackern kan veta ännu mer: en åtkomstnyckel i announce-URL:en identifierar kontot oavsett vilken utgång paketen kom från.

Kryptering täcker återigen en annan axel. HTTPS skyddar en förfrågan från utgången och framåt; vanlig HTTP exponerar förfrågningsraden för varje nätverk på vägen, och därför kan det ena protokollet formas medan det andra inte kan.

Svara på de fyra frågorna med bevis, inte med en ikon. Ikonen säger bara att det finns en tunnel.