Sino ang Makakakita ng Iyong Trapikong VPN? Apat na Tagamasid
Ang lokal na network, operator ng VPN, employer at destinasyon ay may kanya-kanyang nakikitang bahagi. Ihambing ang mga ito bago magtiwala sa tunnel para sa privacy.
Binabago ng tunnel kung saan nagiging mapagmasdan ang iyong trapiko. Hindi nito ito ginagawang hindi mapagmasdan, at ang partidong nakakakuha ng kakayahang makita ay ang pinagdaanan mo ng trapiko. Kung sulit ang palitang iyon ay nakasalalay sa kung aling hakbang ang hindi mo pinagkakatiwalaan, kaya ang kapaki-pakinabang na paghahambing ay sa pagitan ng mga tagamasid at hindi sa pagitan ng mga tatak.
Apat na partido ang nakaupo sa isang koneksyon
Sundan ang isang kahilingan mula sa laptop pabalabas at lumilitaw ang apat na posisyon: ang access network na sinalihan mo, ang labasan ng VPN, ang kapaligiran ng kumpanya kung pinamamahalaan ang device, at ang destinasyon mismo. Bawat isa ay may ibang lugar sa landas, kaya bawat isa ay nangongolekta ng ibang uri ng ebidensya. Ang talahanayan ang buong argumento sa isang tingin.
| Observer | Sees | Does not see |
|---|---|---|
| Local network and ISP | That a tunnel exists, its endpoint, volume and timing | Destinations carried inside the tunnel |
| VPN operator | Source address, destinations, unencrypted content | Content protected end to end by TLS |
| Managed employer | Device telemetry, DNS and proxy logs, policy decisions | Nothing about the device is hidden from its owner |
| Destination | Exit address, account, cookies, client fingerprint | Who is behind the exit address |
Basahin ang talahanayan mula sa banta pabalabas. Kung ang Wi-Fi ng cafe ang alalahanin, ang unang hilera ang nagbabago; kung ang provider ang alalahanin, napalitan mo na ang isang operator ng iba at mas mahalaga na ngayon ang ikalawang hilera. Hindi nagkakarera ang mga hilera; inilalarawan ng bawat isa ang ibang posisyon sa parehong landas.
Nakikita pa rin ng access network ang tunnel
Nakikita ng iyong provider o ng network ng hotel ang koneksyon sa isang IP address, ang mga byte na inilipat at ang mga oras na gumalaw ang mga ito. Hindi nito nakikita ang mga site sa loob ng tunnel, basta't ang paglutas ng pangalan ay dumadaan din sa loob nito at ang destinasyon ay naabot sa labasan at hindi direkta.
Dalawang pagtagas ang mas madalas na nananatili kaysa inaasahan ng mga tao. Ang mga query ng DNS na ipinapadala sa lokal na resolver ay pinapangalanan pa rin ang mga site, at ang pangalan ng server sa ordinaryong TLS handshake ay nababasa sa landas maliban kung ginagamit ang naka-encrypt na pagbati ng client. Wala sa dalawa ang naaayos sa pag-install ng client; pareho silang usapin ng configuration.
Ang operator ng VPN, at ang employer sa likod nito
Ang komersyal na provider ay nakatayo mismo sa kinatatayuan ng iyong provider: ipinapasa nito ang iyong mga packet at mababasa ang lahat ng hindi hiwalay na naka-encrypt. Ang password na itinipa sa ordinaryong HTTP form ay nababasa sa labasan kahit naka-encrypt ang unang hakbang. Inilipat ng tunnel ang tiwala, hindi nito inalis ang pagkakalantad. Basahin ang patakaran sa pag-log ng provider bago ipalagay na may pinabuti ang palitan.
Sa pinamamahalaang laptop sa trabaho, pag-aari ng organisasyon ang endpoint, kaya sinusubaybayan ito ng pamamahala ng device, pag-log ng DNS at mga talaan ng proxy may konektadong tunnel man o wala. Hindi ginagawang pribado ng personal na VPN ang pinamamahalaang device, at sa maraming network ito ay paglabag sa patakaran at hindi hakbang sa privacy.
Ang trapiko mula sa ibang device sa iyong tahanan ay hindi nakikita ng employer na iyon maliban kung sadyang gumaganap ang laptop sa trabaho bilang kanilang gateway. Mahalaga ang pagkakaibang iyon kapag isang sambahayan ang nagbabahagi ng isang koneksyon at ipinapalagay ang pinakamasama.
Ang destinasyon, at ang mga kapitbahay sa labasan
Nakikita ng site na binibisita mo ang address ng labasan, ang account na ginamit mo sa pag-sign in, cookies at mga katangian ng browser. Ang tunnel ay nagbabago lamang ng unang item, at ang pag-sign in ay nag-uugnay pa rin ng address ng labasan sa iyo.
Ang mga shared service ay nagdadagdag ng mas banayad na panganib. Kung hindi ibinubukod ng provider ang mga customer sa isa't isa, ang isang makina na nakikinig sa isang port ay maaaring maabot ng ibang customer sa parehong labasan. Ang pagharang sa papasok na trapiko bilang default sa firewall ng host ay sumasaklaw sa malaking bahagi ng panganib na iyon. Ang pagsubok nito ay nangangahulugan ng pagkonekta ng pangalawang device sa parehong serbisyo at pagsubok na maabot ang isang port na nakikinig.
May mga bagay na hindi nagbabago: mga identifier ng account, pagsubaybay sa antas ng application, at ang kaalaman ng telepono mismo na nagpapasa ito ng trapiko kapag ibinabahagi mo ang koneksyon. Ang tunnel ay desisyon sa pag-ruta, hindi pagbabago ng pagkakakilanlan.
Piliin ang tagamasid na pinagtataguan mo bago pumili ng produkto. Kung lokal na network, halos lahat ng tamang naka-configure na labasan ay nakakatulong. Kung pag-log ng provider mismo, bahagi ng desisyon ang kontrata. Kung employer mo, walang personal na tunnel ang gagawa ng trabaho.