VPN operatörü hangi siteleri ziyaret ettiğinizi görebilir mi?

VPN'in ne görebileceğini sorun; yanıt yolun neresinde durduğunuza bağlıdır. Oturum katmanında operatörün kimlik doğrulama olayları ve bayt sayımları vardır. Paket katmanında hedef adresler ve zaman vardır. DNS katmanında adların kendisi olabilir. Her katman farklı bir soruyu yanıtlar ve hiçbir anahtar sizi bunlar arasında taşımaz.

Bir iddiada bulunmadan önce katmanı belirleyin

Aynı bağlantı her noktada farklı kayıtlar üretir ve gizlilikle ilgili bir ifade ancak o noktayı adlandırdığında anlam taşır. Tabloyu sütun sütun okuyun: o katmanda ne var, operatör orada ne görebilir ve aynı kayıtlar hâlâ neyi söyleyemez.

Tek bir katmanı bütün resim olarak okumak hem abartılı iddiaların hem de sahte güvencenin başlangıcıdır. Taramayı kaydetmediğini söyleyen bir sağlayıcı URL kaydı konusunda doğru olabilir ve yine de oturum kayıtlarını tutabilir; yalnızca adresleri gösteren bir paket yakalaması, ters aramalar ve tahminler olmadan tarama geçmişine dönüşmez.

Bir politikayı değerlendirirken her katmanı tanımlayan cümleyi bulun. Politika bunları ayırmıyorsa, şifreleme hakkında genel bir ifadeyi kabul etmek yerine hangi kayıtların var olduğunu sorun.

Oturum envanteri: standart bir OpenVPN sunucusu ne saklar

Varsayılan olarak bir OpenVPN sunucusu trafiği yakalamaz. Normal çıktı bir oturum envanteridir: kimlik doğrulayan hesap, geldiği kaynak adres, başlangıç ve bitiş zaman damgaları, verilen tünel adresi ve her yöndeki toplam bayt. Bu bir oturum envanteridir, hedef listesi değil.

Günlükleme seçenekleri ayrıntı ekleyebilir. Daha yüksek bir ayrıntı düzeyi el sıkışma hakkında daha fazla yazar ve bir durum dosyası bağlı istemcileri listeleyebilir; ancak ikisi de sunucuyu şeffaf bir proxy yapmaz. URL üretmek için TLS'i sonlandırmak veya açık bir proxy çalıştırmak gerekir ve her ikisi de gizli bir özelliği açmak yerine güven düzenini değiştirir.

Bu yüzden tarama günlüğü yok iddiasının doğru sürümü kulağa geldiğinden dardır. Sunucu sayfayı bilmez ama bir oturumun var olduğunu ve yaklaşık ne kadar verinin geçtiğini bilir. Bu oturum kaydının tutulup tutulmadığı ve ne kadar süreyle tutulduğu ayrı bir politika sorusudur.

İç ve dış paketler farklı kanıtlardır

Paket yakalaması, tünelden gerçekte neyin geçtiğini görmenin yoludur. Sunucuda tünel arayüzünü adlandırın ve çevrimdışı incelenebilecek bir dosyaya yazın:

sudo tcpdump -ni tun0 -w /tmp/tun.pcap
sudo tcpdump -r /tmp/tun.pcap -nn | head

Bu dosya çözülmüş iç trafiği içerir: kaynak olarak istemcinin tünel adresi, hedef adres ve bağlantı noktası, paket boyutları ve zaman. Bir yerde TLS sonlandırılmadıkça HTTP yolunu veya yanıt gövdesini içermez ve bu, saklanması bir politika kararı olan hassas veridir, hata ayıklama kolaylığı değil.

Fiziksel arayüzdeki yakalama başka bir şey gösterir. Orada VPN uç noktasına yönelen dış paketleri, içinde şifrelenmiş yük ile görürsünüz. Sanal bir adaptör olduğunda o dosyada ilgisiz adreslerin görünmesi normaldir, çünkü tünel aygıtı iç akışları, şifreli taşıma ise dış akışları taşır.

Yakalamanın hangi soruyu yanıtlaması gerektiğini sorun. Bir uygulamanın tünel kullanımı sanal adaptörde görünür; tünelin uç noktaya erişilebilirliği fiziksel adaptörde görünür. Dosyalardan birini bütün resim olarak kullanmak verinin destekleyemeyeceği sonuçlar üretir.

DNS, adların görünür hale geldiği yerdir

DNS pratik istisna olmayı sürdürür. Çözümleyici, çözmesi istenen adları görür; dolayısıyla onu işleten, sonraki bağlantılar şifreli olsa bile istemcinin hangi siteleri aradığını öğrenir. Tünel yakalaması adresleri gösterir; çözümleyici adları gösterir.

Çözümleyicinin bir dış hizmete ulaşmak için hangi adresi kullandığını kontrol edin. Yanıt çözümleyicinin çıkış adresidir ve VPN çıkışıyla karşılaştırmak sorgunun tünelden geçip geçmediğini söyler:

dig +short myip.opendns.com @resolver1.opendns.com
dig example.com
sudo tcpdump -ni any udp port 53

Bu adres tünel çıkışıyla değil yerel bağlantıyla eşleşiyorsa, arama VPN'i atlamış ve ad yerel yolda görünmüş olur. İstemci güncellemesinden sonra kontrolü yineleyin, çünkü yeni sürüm profil hangi çözümleyiciyi kuruyorsa onu değiştirebilir.

Şifreli DNS görünürlüğü kaldırmak yerine taşır. Ağ artık sorguyu görmez ama çözümleyici hâlâ görür ve güven sorusu yalnızca el değiştirir. Bağlantının el sıkışmasındaki TLS sunucu adı bir başka kısmi sinyaldir: yük opak olsa bile çoğu zaman varlığını sürdürür, bu yüzden hedef adresler bir iletme sunucusunun gözlemleyebileceği tek üst veri değildir.

Üç kayıt türü ve bunları kim okuyabilir

Oturum muhasebesi, ada göre kayıtlar ve sızıntı kanıtları üç farklı yükümlülüğe sahip üç farklı üründür. Oturum günlükleri ucuz ve düşük hassasiyetlidir; kimin ne zaman bağlandığını yanıtlar. Ada göre kayıtlar günlükleyen bir çözümleyici veya açık bir proxy gerektirir ve etkilenen kişilere karşı bir açıklama yükümlülüğü doğurur. Sızıntı kanıtı, çözümleyicinin açığa çıkardığını tünel çıkışıyla karşılaştıran istemci tarafı bir testtir.

Bu üçünden hangisini işlettiğinizi, kimin okuyabileceğini ve ne kadar süre kaldığını yazın. Bir hizmetin günlük tutmadığı yönündeki ifadeler tek bir katmanı tanımlar ve yalnızca o kapsamda doğru kalır. Aynı sağlayıcı oturumlar konusunda doğru, DNS konusunda yanlış olabilir.

Testi yeniden üretilebilir tutun: aynı çözümleyici sorgusu, aynı yakalama arayüzü ve aynı karşılaştırma. Adlandırılmış bir katmanda test edilemeyen bir gizlilik iddiası bir slogan, operasyonel bir gerçek değildir.