Метадані VPN: що кожен спостерігач усе ще може побачити
Шифрування приховує вміст, а не сам факт з'єднання. Відокремте, що бачать мережа доступу, вихід VPN, резолвер і пункт призначення, і що кожен із них зберігає.
Шифрування приховує те, що ви надіслали, а не те, що ви щось надіслали. Розміри, час і зовнішні адреси залишаються доступними сторонам у різних точках шляху. Кожен спостерігач отримує свій зріз, і питання приватності в тому, що цей зріз може підтвердити. Почніть із того, щоб назвати, хто дивиться, перш ніж вирішувати, що означає ця відкритість.
Назвіть спостерігача до твердження
У типовому тунелі важливі чотири позиції: ваша мережа доступу, вихід оператора VPN, будь-який резолвер, що отримує ім'я, і сам пункт призначення. Кожна бачить різне поєднання джерела, призначення, імені, розміру й часу. Загальне твердження про те, що розкриває VPN, майже завжди є твердженням про одну з цих позицій.
| Observer | Usually visible | Not visible |
|---|---|---|
| Access network | VPN endpoint, volume, timing | Inner destinations |
| VPN exit | Your traffic, destination addresses | Your home address |
| Resolver | The names it resolves | Your full page content |
| Destination | Exit address, request, protocol details | Your physical location |
Тримайте їх окремо в аналізі. Їхнє об'єднання породжує твердження, які неможливо перевірити. Позиція спостерігача також визначає, що пізніше зможе отримати від нього юридичний запит.
Вміст і пункт призначення — різні питання
Шифрування захищає корисне навантаження з'єднання, а HTTPS захищає його ще раз у своєму обміні. Однак адреси призначення — це маршрутна інформація, і вихід має пересилати до них. DNS-резолвери отримують імена, на які відповідають, а видимість інших імен хостів залежить від використовуваного протоколу. Припускати, що кожен посередник бачить повний URL, так само неправильно, як припускати, що ніхто нічого не бачить.
Ідентифікатори облікових записів, позначки пристроїв і діагностичні ID часто живуть у системах керування, а не в полях пакетів. Специфікація протоколу не описує аналітику навколо нього. Тунель, що приховує адреси від мережі доступу, все ще може розкрити їх виходу, тому однакові метадані мають різну цінність у різних руках.
Спостережуване не зберігається
Кінцева точка може обробляти дані для доставки трафіку, не ведучи їхньої історії. Вона також може зберігати діагностику, підсумкові суми або записи за окремими обліковими записами протягом обмеженого часу. Це різна поведінка з різними наслідками, і слово анонімний рідко їх розрізняє. Пакет, що проходить через сервер, не залишає автоматичного запису про те, куди він пішов.
Запитайте, що збирається, чи пов'язується це з обліковим записом, як довго зберігається і хто може це читати. Підсумок за всіма користувачами відповідає на інше питання, ніж запис із міткою часу, прив'язаний до однієї особи. Ця різниця і є різницею між політикою конфіденційності та маркетинговою фразою.
Запишіть відповідь, перш ніж порівнювати постачальників. Словесне запевнення не є політикою зберігання.
Поставте конкретні питання про зберігання
Сформулюйте питання письмово, перш ніж порівнювати продукти. Які події журналюються, з якою деталізацією, як довго і під чиїм контролем? Чи агрегуються дані, чи беруться вибірки, чи вони видаляються за розкладом? Чи може оператор на запит надати історію за окремим обліковим записом?
Ці відповіді належать до запису рішення. Без них порівняння перетворюється на конкурс гасел.
Настанова з конфіденційності RFC 6973 — корисна основа для цих питань, оскільки вона відокремлює мінімізацію даних від зберігання та вторинного використання. Список, у якому вказано країну виходу, каже, звідки ви підключаєтеся. Він нічого не говорить про те, що зберігає цей оператор.