VPN sağlayıcınızın görebildikleri ve göremedikleri
Çıkış, adresleri, zamanları ve Encrypted Client Hello kullanılmadıkça TLS el sıkışmasındaki site adını görür. Saklama ayrı bir sorudur.
Tüneliniz yerel ağı trafiğinizin dışında tutar. Ancak diğer uçtaki şirketi ortadan kaldırmaz; o şirket her paketi açık internete ulaşmadan önce işler. Bu konum aynı zamanda hem iş modeli hem de gizlilik sorusudur. Bu yüzden faydalı soru sağlayıcının sizi görüp göremediği değil, ne gördüğü, neyi adlandırabildiği ve neyi sakladığıdır.
Güvenin gerçekte nereye taşındığı
Şifreleme cihazınızdan sağlayıcının sunucusuna kadar gider ve bu dış bacak yerel ağınızın hiç görebildiği tek şeydir. Sağlayıcı bacağın diğer ucunu tutar, bu yüzden tüneli çözer ve paketlerinizi ileri iletir. Bunda hiçbir kusur yok; satın aldığınız hizmetin tanımı budur. Güven, yok olmak yerine yerel operatörden çıkış operatörüne taşındı.
Bu konumdan kaynak adresinizi, ne zaman bağlandığınızı, yaklaşık ne kadar aktardığınızı ve hangi hedeflere başvurduğunuzu öğrenir. Bunların hiçbiri mesajlarınızı okumayı gerektirmez ve kategorileri ayırmanın anlamı da budur. Sağlayıcılar arasındaki ilginç farklar, bu gözlemlerle sonradan ne olduğuyla ilgilidir.
Çıkışın zorunlu olarak işlediği şeyler
Kategorileri çıkışın onları ne kadar güvenilir gördüğüne göre sıralayın. Hiçbir satır şifrelemeyi kırmayı gerektirmez ve her birinin tamamen kaçınılabilir olup olmadığına dair farklı bir yanıtı vardır.
| Category | Visible at the exit | Why |
|---|---|---|
| Your public address | Always | It is the address the tunnel arrives from |
| Connection times and volume | Always | Accounting data, not content |
| Destination IP addresses | Always | The exit has to route the packets |
| HTTPS hostname (SNI) | Normally, unless ECH is used | Sent in the clear in the TLS ClientHello |
| DNS names | Only if DNS is plaintext | DoH or DoT hides the query; plaintext is readable by the forwarder |
| Page paths and form contents | Not normally | Protected by the destination site's TLS session |
Dördüncü satır, çoğu zihinsel modelin kaçırdığı şeydir. Modern bir tarayıcı site adını ClientHello'ya, TLS el sıkışmasının ilk mesajına koyar ve bu alan, her DNS sorgusu uçtan uca şifreli olsa bile çıkışta okunabilir. Encrypted Client Hello üzerinde anlaşılmadıkça ad, hedef adresin yanında açık metin olarak yolculuk eder. Şifreli DNS, sorguyu kimin gördüğünü değiştirir, adı kimin gördüğünü değil.
Aynısı daha eski bağlantılardaki sertifikalar için de geçerlidir: TLS 1.3 sunucu sertifikasını şifreler, oysa TLS 1.2 el sıkışması adı akışı kaydeden bir gözlemciye açığa çıkarabilir. İkisi de taşıma gerçeğidir, sağlayıcı politikası değil.
TLS neyi kapsar, neyi kapsamaz
Bir site HTTPS sunduğunda, tarayıcınız VPN sunucusuna değil, o sitenin uç noktasına TLS bağlantısı kurar. Sağlayıcı şifreli kayıtları iletir ve hedef adresi, zamanı ve yaklaşık boyutları öğrenir. Site adı ECH devrede değilse ClientHello içinde gider ve sayfa gövdesi iki durumda da şifreli kalır. Beklenmeyen bir kök sertifika bu sınırı değiştirir, bu yüzden sertifika uyarıları saygıyı hak eder.
Düz HTTP'nin çıkıştan sonra böyle bir koruması yoktur. Tünel sağlayıcıya kadar olan bacağı korur ve sonrasında istek tam olarak VPN olmadan gideceği gibi gider. ECH bunu düzeltmez, çünkü içeriği değil adı korur.
Saklama, görünürlükten ayrı bir sorudur
Bir operatör bağlantı verilerini bellekte işleyip hiçbir şey saklamayabilir ya da bir alt kümeyi saklayıp onu doğru biçimde tarama geçmişi olmadığı şeklinde tanımlayabilir. Kayıtsız olduğu iddiasını slogana göre değil kategoriye göre okuyun: bağlantı kayıtları, zaman damgaları, hacim toplamları, hedef verileri, hesap tanımlayıcıları ve destek mesajları hepsi sayılır. Bir sağlayıcı dürüstçe hiç tarama günlüğü tutmayabilir ve aynı zamanda hesap kaydını ve hizmeti yürütmek için gereken üst verileri saklayabilir. Görünürlük size bu kategorilerden hangisinin saklandığını söylemez.
Bir denetim, sistemler ve kapsadığı zaman aralığı hakkında kanıttır; açık kaynak istemci kodu ise sunucuları değil istemciyi tanımlar. İkisi de faydalıdır ve ikisi de çıkışın arkasındaki her depolama sistemi adına konuşmaz. Bir denetimin rozetini değil kapsamını sorun.
Sağlayıcıları ayıran sorular
Neyin saklandığını, ne kadar süreyle ve kimin alabileceğini sorun. Çıkışı kimin işlettiğini sorun, çünkü bir dizin kaydı, bir uygulama geliştiricisi ve belirli bir sunucuyu çalıştıran kişi üç farklı taraf olabilir. DNS'in nasıl işlendiğini ve kullandığınız yollarda ECH'nin desteklenip desteklenmediğini sorun, çünkü açık metin bir ClientHello, DNS sorgusu olmadan bile siteyi adlandırır. Yasal bir talep karşısında ne olduğunu sorun ve yanıtı niyetin değil yeteneğin tanımı olarak okuyun.
EFF'nin VPN seçme rehberi bu sorular için makul bir kontrol listesidir ve herhangi bir hizmet hakkında hüküm değil, bir çerçevedir. Bir pazarlama sayfası saklama politikası değildir. Bunların hiçbiri VPN'i işe yaramaz kılmaz; kime güvenmeniz gerektiğini ve ne için güvenmeniz gerektiğini değiştirir.