Хто бачить ваш трафік через VPN? Чотири спостерігачі
Локальна мережа, оператор VPN, роботодавець і пункт призначення бачать кожен свій зріз. Порівняйте їх, перш ніж довіряти тунелю щодо приватності.
Тунель змінює місце, де ваш трафік стає спостережуваним. Він не робить його неспостережуваним, і сторона, яка отримує видимість, — це та, через яку ви спрямували трафік. Чи вартий такий обмін, залежить від того, якій ділянці ви не довіряєте, тому корисне порівняння — між спостерігачами, а не між брендами.
На одному з'єднанні сидять чотири сторони
Простежте запит від ноутбука назовні, і з'являться чотири позиції: мережа доступу, до якої ви під'єдналися, вихід VPN, корпоративне середовище, якщо пристрій керується, і сам пункт призначення. Кожна займає своє місце на шляху, тому кожна збирає свій тип доказів. Таблиця — це весь аргумент в одному погляді.
| Observer | Sees | Does not see |
|---|---|---|
| Local network and ISP | That a tunnel exists, its endpoint, volume and timing | Destinations carried inside the tunnel |
| VPN operator | Source address, destinations, unencrypted content | Content protected end to end by TLS |
| Managed employer | Device telemetry, DNS and proxy logs, policy decisions | Nothing about the device is hidden from its owner |
| Destination | Exit address, account, cookies, client fingerprint | Who is behind the exit address |
Читайте таблицю від загрози назовні. Якщо турбує Wi-Fi у кав'ярні, змінюється перший рядок; якщо турбує провайдер, ви замінили одного оператора на іншого і другий рядок тепер важливіший. Рядки не змагаються; кожен описує іншу позицію на тому самому шляху.
Мережа доступу досі бачить тунель
Ваш провайдер або мережа готелю бачить з'єднання до IP-адреси, передані байти та час їх руху. Вона не бачить сайти всередині тунелю за умови, що розв'язання імен також іде всередині нього, а пункт призначення досягається через вихід, а не напряму.
Два витоки виживають частіше, ніж люди очікують. DNS-запити, надіслані локальному резолверу, досі називають сайти, а ім'я сервера у звичайному рукостисканні TLS читається на шляху, якщо не використовується зашифроване вітання клієнта. Жодне не виправляється встановленням клієнта; обидва — питання налаштування.
Оператор VPN і роботодавець за ним
Комерційний провайдер стоїть рівно там, де стояв ваш провайдер: він пересилає ваші пакети й може читати все, що не зашифровано окремо. Пароль, введений у просту форму HTTP, читається на виході, хоча перша ділянка була зашифрована. Тунель перемістив довіру, він не усунув уразливість. Прочитайте політику журналювання провайдера, перш ніж припускати, що заміна щось покращила.
На керованому робочому ноутбуці організація володіє кінцевою точкою, тому керування пристроями, журналювання DNS і записи проксі спостерігають за ним незалежно від того, чи під'єднано тунель. Особистий VPN не робить керований пристрій приватним, і в багатьох мережах це порушення політики, а не захід приватності.
Трафік інших пристроїв у вашому домі не видно цьому роботодавцю, якщо робочий ноутбук навмисно не слугує їхнім шлюзом. Ця різниця важлива, коли домогосподарство ділить одне з'єднання й припускає найгірше.
Пункт призначення і сусіди на виході
Сайт, який ви відвідуєте, бачить адресу виходу, обліковий запис, з яким ви увійшли, файли cookie та характеристики браузера. Тунель змінює лише перший пункт, а вхід усе одно пов'язує адресу виходу з вами.
Спільні сервіси додають тонший ризик. Якщо провайдер не ізолює клієнтів одного від одного, машина, що слухає порт, може бути доступною іншим клієнтам на тому самому виході. Блокування вхідного трафіку за замовчуванням у міжмережевому екрані хоста покриває більшу частину цього ризику. Перевірити це означає під'єднати другий пристрій до того самого сервісу й спробувати досягти порту, що слухає.
Деякі речі не змінюються ніколи: ідентифікатори облікового запису, відстеження на рівні застосунків і знання самого телефона про те, що він пересилає трафік, коли ви ділите з'єднання. Тунель — це рішення про маршрутизацію, а не зміна особи.
Виберіть спостерігача, від якого ховаєтеся, перш ніж вибирати продукт. Якщо це локальна мережа, допоможе майже будь-який правильно налаштований вихід. Якщо це журналювання самого провайдера, договір — частина рішення. Якщо це ваш роботодавець, жоден особистий тунель не впорається.