Що може бачити ваш VPN-провайдер, а що ні
Вихід бачить адреси, час і, якщо не використовується Encrypted Client Hello, ім'я сайту в рукостисканні TLS. Зберігання — окреме питання.
Ваш тунель тримає локальну мережу поза вашим трафіком. Але він не прибирає компанію на іншому кінці, яка обробляє кожен пакет, перш ніж той потрапить у відкритий інтернет. Ця позиція водночас є бізнес-моделлю і питанням приватності. Тому корисне питання не в тому, чи може провайдер вас бачити, а в тому, що він бачить, що може назвати і що зберігає.
Куди насправді переходить довіра
Шифрування йде від вашого пристрою до сервера провайдера, і ця зовнішня ділянка — усе, що взагалі бачить ваша локальна мережа. Провайдер тримає інший кінець ділянки, тому розшифровує тунель і передає ваші пакети далі. У цьому немає жодної вади; це визначення послуги, яку ви купили. Довіра перемістилася від місцевого оператора до оператора виходу, а не зникла.
Із цієї позиції він дізнається вашу адресу джерела, коли ви підключилися, приблизно скільки передали і до яких призначень зверталися. Ніщо з цього не вимагає читати ваші повідомлення, і саме в цьому сенс розділення категорій. Цікаві відмінності між провайдерами стосуються того, що відбувається з цими спостереженнями потім.
Що вихід обробляє за необхідністю
Упорядкуйте категорії за тим, наскільки надійно вихід може їх бачити. Жоден рядок не вимагає зламу шифрування, і кожен має іншу відповідь на питання, чи можна цього взагалі уникнути.
| Category | Visible at the exit | Why |
|---|---|---|
| Your public address | Always | It is the address the tunnel arrives from |
| Connection times and volume | Always | Accounting data, not content |
| Destination IP addresses | Always | The exit has to route the packets |
| HTTPS hostname (SNI) | Normally, unless ECH is used | Sent in the clear in the TLS ClientHello |
| DNS names | Only if DNS is plaintext | DoH or DoT hides the query; plaintext is readable by the forwarder |
| Page paths and form contents | Not normally | Protected by the destination site's TLS session |
Четвертий рядок — це те, що пропускає більшість розумових моделей. Сучасний браузер вміщує ім'я сайту в ClientHello, перше повідомлення рукостискання TLS, і це поле читається на виході навіть тоді, коли кожен запит DNS зашифрований від краю до краю. Якщо Encrypted Client Hello не узгоджено, ім'я подорожує відкритим текстом поруч з адресою призначення. Зашифрований DNS змінює те, хто бачить запит, а не те, хто бачить ім'я.
Те саме стосується сертифікатів у старіших з'єднаннях: TLS 1.3 шифрує сертифікат сервера, тоді як рукостискання TLS 1.2 може розкрити ім'я спостерігачеві, який записує потік. Обидва — факти транспорту, а не політика провайдера.
Що покриває TLS, а що ні
Коли сайт віддає HTTPS, ваш браузер будує з'єднання TLS з кінцевою точкою цього сайту, а не з сервером VPN. Провайдер передає зашифровані записи і дізнається адресу призначення, час і приблизні розміри. Ім'я сайту їде в ClientHello, якщо ECH не задіяно, а тіло сторінки в обох випадках залишається зашифрованим. Неочікуваний кореневий сертифікат змінює цю межу, тому попередження про сертифікати заслуговують на повагу.
Простий HTTP не має такого захисту після виходу. Тунель захищає ділянку до провайдера, і після цього запит іде точно так, як ішов би без VPN. ECH цього не виправляє, бо захищає ім'я, а не вміст.
Зберігання — окреме питання від видимості
Оператор може обробляти дані про з'єднання в пам'яті й нічого не зберігати, або зберігати підмножину й точно описувати її як не історію переглядів. Читайте заяву про відсутність журналів за категоріями, а не за гаслами: записи про з'єднання, позначки часу, обсяги, дані про призначення, ідентифікатори облікового запису й повідомлення підтримки — усе рахується. Провайдер може чесно не вести журналів переглядів і водночас зберігати запис облікового запису та метадані, потрібні для роботи служби. Видимість не каже вам, яка з цих категорій зберігається.
Аудит — це доказ про системи й часове вікно, яке він охопив, а клієнтський код із відкритим кодом описує клієнта, а не сервери. Обидва корисні, і жодне не говорить за кожну систему зберігання за виходом. Питайте про обсяг аудиту, а не про його значок.
Питання, що розрізняють провайдерів
Запитайте, що зберігається, як довго і хто може це отримати. Запитайте, хто керує виходом, бо запис у каталозі, розробник застосунку й людина, яка тримає конкретний сервер, можуть бути трьома різними сторонами. Запитайте, як обробляється DNS і чи підтримується ECH на шляхах, які ви використовуєте, оскільки відкритий ClientHello називає сайт навіть без запиту DNS. Запитайте, що відбувається при юридичному запиті, і читайте відповідь як опис можливостей, а не намірів.
Порадник EFF щодо вибору VPN — розумний контрольний список для цих питань, і це рамка, а не вирок будь-якій службі. Маркетингова сторінка не є політикою зберігання. Ніщо з цього не робить VPN марним; це змінює, кому ви маєте довіряти і в чому.