Ano ang nakikita at hindi nakikita ng iyong VPN provider
Nakikita ng exit ang mga address, oras at, maliban kung gumamit ng Encrypted Client Hello, ang pangalan ng site sa TLS handshake. Hiwalay na usapin ang pagtago ng datos.
Inilalayo ng iyong tunnel ang lokal na network sa iyong trapiko. Ngunit hindi nito inaalis ang kumpanya sa kabilang dulo, na nagpoproseso ng bawat packet bago ito umabot sa bukas na internet. Ang posisyong iyon ay parehong modelo ng negosyo at usapin ng privacy. Kaya ang kapaki-pakinabang na tanong ay hindi kung nakikita ka ng provider, kundi kung ano ang nakikita nito, ano ang kayang pangalanan at ano ang itinatago nito.
Saan talaga lumilipat ang tiwala
Ang encryption ay tumatakbo mula sa iyong device hanggang sa server ng provider, at ang panlabas na bahaging iyon ang tanging nakikita ng iyong lokal na network. Hawak ng provider ang kabilang dulo ng bahagi, kaya dine-decrypt nito ang tunnel at ipinapasa ang iyong mga packet. Wala itong depekto; iyon ang kahulugan ng serbisyong binili mo. Lumipat ang tiwala mula sa lokal na operator patungo sa operator ng exit sa halip na mawala.
Mula sa posisyong iyon natututuhan nito ang iyong source address, kung kailan ka kumonekta, halos gaano ang inilipat mo at aling mga destinasyon ang kinontak mo. Wala sa mga ito ang nangangailangan ng pagbasa ng iyong mga mensahe, at iyon ang punto ng paghihiwalay ng mga kategorya. Ang mga kawili-wiling pagkakaiba sa pagitan ng mga provider ay tungkol sa kung ano ang nangyayari sa mga obserbasyong iyon pagkatapos.
Ano ang hinahawakan ng exit dahil kailangan
Isaayos ang mga kategorya ayon sa kung gaano katiyak na nakikita ng exit ang mga ito. Wala sa mga hilera ang nangangailangan ng pagbasag ng encryption, at bawat isa ay may ibang sagot kung maiiwasan ba ito nang lubusan.
| Category | Visible at the exit | Why |
|---|---|---|
| Your public address | Always | It is the address the tunnel arrives from |
| Connection times and volume | Always | Accounting data, not content |
| Destination IP addresses | Always | The exit has to route the packets |
| HTTPS hostname (SNI) | Normally, unless ECH is used | Sent in the clear in the TLS ClientHello |
| DNS names | Only if DNS is plaintext | DoH or DoT hides the query; plaintext is readable by the forwarder |
| Page paths and form contents | Not normally | Protected by the destination site's TLS session |
Ang ikaapat na hilera ang madalas na hindi napapansin ng mga mental model. Inilalagay ng modernong browser ang pangalan ng site sa ClientHello, ang unang mensahe ng TLS handshake, at nababasa ang field na iyon sa exit kahit naka-encrypt ang bawat DNS query mula simula hanggang dulo. Maliban kung napagkasunduan ang Encrypted Client Hello, bumibiyahe ang pangalan nang lantad sa tabi ng destinasyong address. Binabago ng naka-encrypt na DNS kung sino ang nakakakita ng query, hindi kung sino ang nakakakita ng pangalan.
Ganito rin sa mga sertipiko sa mas lumang koneksyon: ine-encrypt ng TLS 1.3 ang sertipiko ng server, samantalang ang TLS 1.2 handshake ay maaaring maglantad ng pangalan sa observer na nagre-record ng stream. Pawang mga katotohanan ng transportasyon ang dalawa, hindi patakaran ng provider.
Ano ang saklaw ng TLS at ano ang hindi
Kapag naghahatid ng HTTPS ang isang site, bumubuo ang iyong browser ng TLS koneksyon sa endpoint ng site na iyon, hindi sa VPN server. Ipinapasa ng provider ang mga naka-encrypt na record at natututuhan ang destinasyong address, ang oras at ang tinatayang laki. Bumibiyahe ang pangalan ng site sa ClientHello maliban kung gumagana ang ECH, at nananatiling naka-encrypt ang katawan ng pahina sa dalawang kaso. Binabago ng hindi inaasahang root certificate ang hangganang iyon, kaya karapat-dapat igalang ang mga babala sa sertipiko.
Ang simpleng HTTP ay walang gayong proteksyon lampas sa exit. Pinoprotektahan ng tunnel ang bahagi hanggang sa provider, at pagkatapos ay bumibiyahe ang kahilingan nang eksakto tulad ng gagawin nito kung walang VPN. Hindi iyon inaayos ng ECH, dahil pinoprotektahan nito ang pangalan at hindi ang nilalaman.
Ang pagtago ng datos ay hiwalay na usapin sa visibility
Maaaring iproseso ng operator ang datos ng koneksyon sa memorya at walang itago, o magtago ng isang subset at tumpak na ilarawan itong hindi kasaysayan ng pag-browse. Basahin ang pahayag na walang log ayon sa kategorya at hindi ayon sa slogan: ang mga tala ng koneksyon, timestamp, kabuuang volume, datos ng destinasyon, identifier ng account at mga mensahe ng suporta ay binibilang lahat. Maaaring tapat na walang itagong log ng pag-browse ang isang provider habang hawak ang tala ng account at ang metadata na kailangan upang patakbuhin ang serbisyo. Hindi sinasabi ng visibility kung alin sa mga kategoryang iyon ang nakaimbak.
Ang audit ay ebidensya tungkol sa mga sistema at sa yugto ng panahong sakop nito, at ang open source na client code ay naglalarawan ng client at hindi ng mga server. Kapaki-pakinabang ang dalawa, at wala sa kanila ang nagsasalita para sa bawat sistema ng imbakan sa likod ng exit. Itanong ang saklaw ng audit, hindi ang badge nito.
Mga tanong na naghihiwalay sa mga provider
Itanong kung ano ang itinatago, gaano katagal at sino ang makakakuha nito. Itanong kung sino ang nagpapatakbo ng exit, dahil ang listahan sa direktoryo, developer ng app at ang taong nagpapatakbo ng partikular na server ay maaaring tatlong magkaibang partido. Itanong kung paano hinahawakan ang DNS at kung sinusuportahan ang ECH sa mga rutang ginagamit mo, dahil pinapangalanan ng lantad na ClientHello ang site kahit walang DNS query. Itanong kung ano ang nangyayari sa legal na kahilingan, at basahin ang sagot bilang paglalarawan ng kakayahan at hindi ng layunin.
Ang gabay ng EFF sa pagpili ng VPN ay makatwirang checklist para sa mga tanong na iyon, at ito ay balangkas at hindi hatol sa alinmang serbisyo. Ang pahina ng marketing ay hindi patakaran sa pagtago. Wala sa mga ito ang gumagawang walang silbi ang VPN; binabago nito kung sino ang dapat mong pagkatiwalaan, at para saan.