VPN provayderingiz nimalarni ko'ra oladi va nimalarni ko'ra olmaydi
Chiqish nuqtasi manzillar, vaqtlar va Encrypted Client Hello ishlatilmasa, TLS qo'l siqishidagi sayt nomini ko'radi. Saqlash alohida savol.
Tunnelingiz mahalliy tarmoqni trafigingizdan tashqarida ushlab turadi. Ammo u bosh uchdagi kompaniyani olib tashlamaydi; u har bir paketni ochiq internetga yetib borishidan oldin qayta ishlaydi. Bu pozitsiya ham biznes model, ham maxfiylik savolidir. Shuning uchun foydali savol provayder sizni ko'ra oladimi-yo'qmi emas, balki u nima ko'radi, nimaga nom bera oladi va nimani saqlaydi.
Ishonch aslida qayerga o'tadi
Shifrlash qurilmangizdan provayder serverigacha boradi va bu tashqi qism mahalliy tarmog'ingiz ko'radigan hamma narsadir. Provayder bu qismning ikkinchi uchini ushlab turadi, shuning uchun tunnelni ochadi va paketlaringizni uzatadi. Bunda hech qanday nuqson yo'q; bu siz sotib olgan xizmatning ta'rifi. Ishonch yo'qolmasdan, mahalliy operatordan chiqish operatoriga o'tdi.
Bu pozitsiyadan u sizning manba manzilingizni, qachon ulanganingizni, taxminan qancha uzatganingizni va qaysi manzillarga murojaat qilganingizni biladi. Bularning hech biri xabarlaringizni o'qishni talab qilmaydi va toifalarni ajratishning ma'nosi shunda. Provayderlar o'rtasidagi qiziqarli farqlar bu kuzatuvlar bilan keyin nima bo'lishiga tegishli.
Chiqish nuqtasi muqarrar ravishda nimani qayta ishlaydi
Toifalarni chiqish nuqtasi ularni qanchalik ishonchli ko'rishi bo'yicha tartiblang. Hech bir qator shifrlashni buzishni talab qilmaydi va har birining umuman undan qochish mumkinmi degan savolga boshqacha javobi bor.
| Category | Visible at the exit | Why |
|---|---|---|
| Your public address | Always | It is the address the tunnel arrives from |
| Connection times and volume | Always | Accounting data, not content |
| Destination IP addresses | Always | The exit has to route the packets |
| HTTPS hostname (SNI) | Normally, unless ECH is used | Sent in the clear in the TLS ClientHello |
| DNS names | Only if DNS is plaintext | DoH or DoT hides the query; plaintext is readable by the forwarder |
| Page paths and form contents | Not normally | Protected by the destination site's TLS session |
To'rtinchi qator ko'pchilik tafakkur modellari o'tkazib yuboradigan narsadir. Zamonaviy brauzer sayt nomini ClientHello ichiga qo'yadi, bu TLS qo'l siqishining birinchi xabari, va bu maydon har bir DNS so'rovi uchtan-uchiga shifrlangan bo'lsa ham chiqish nuqtasida o'qiladi. Agar Encrypted Client Hello kelishilmasa, nom manzil yonida ochiq holda harakatlanadi. Shifrlangan DNS so'rovni kim ko'rishini o'zgartiradi, nomni kim ko'rishini emas.
Xuddi shu eski ulanishlardagi sertifikatlarga ham tegishli: TLS 1.3 server sertifikatini shifrlaydi, TLS 1.2 qo'l siqishi esa nomni oqimni yozib oluvchi kuzatuvchiga ochib berishi mumkin. Ikkalasi ham transport faktlari, provayder siyosati emas.
TLS nimani qamrab oladi va nimani olmaydi
Sayt HTTPS taqdim etganda, brauzeringiz VPN serveri bilan emas, o'sha saytning oxirgi nuqtasi bilan TLS ulanishini quradi. Provayder shifrlangan yozuvlarni uzatadi va manzil, vaqt va taxminiy o'lchamlarni biladi. ECH ishlamasa sayt nomi ClientHello ichida ketadi va sahifa tanasi ikkala holatda ham shifrlangan qoladi. Kutilmagan ildiz sertifikati bu chegarani o'zgartiradi, shuning uchun sertifikat ogohlantirishlari hurmatga loyiq.
Oddiy HTTP chiqish nuqtasidan keyin bunday himoyaga ega emas. Tunnel provaydergacha bo'lgan qismni himoya qiladi, keyin so'rov xuddi VPNsiz ketgandek ketadi. ECH buni tuzatmaydi, chunki u nomni himoya qiladi, mazmunni emas.
Saqlash ko'rinishdan alohida savol
Operator ulanish ma'lumotlarini xotirada qayta ishlashi va hech narsa saqlamasligi mumkin, yoki bir qismini saqlab, uni brauzer tarixi emas deb aniq ta'riflashi mumkin. Logsiz da'voni shior bo'yicha emas, toifa bo'yicha o'qing: ulanish yozuvlari, vaqt belgilari, hajm yig'indilari, manzil ma'lumotlari, hisob identifikatorlari va yordam xabarlari — barchasi hisobga olinadi. Provayder halol ravishda brauzer loglarini yuritmasdan ham hisob yozuvini va xizmatni yuritish uchun zarur metama'lumotlarni saqlashi mumkin. Ko'rinish bu toifalardan qaysi biri saqlanishini aytmaydi.
Audit tizimlar va u qamrab olgan vaqt oynasi haqidagi dalil, ochiq kodli mijoz kodi esa serverlarni emas, mijozni tavsiflaydi. Ikkalasi ham foydali va hech biri chiqish orqasidagi har bir saqlash tizimi nomidan gapirmaydi. Auditning nishonini emas, qamrovini so'rang.
Provayderlarni ajratadigan savollar
Nima saqlanishi, qancha vaqt va kim olishi mumkinligini so'rang. Chiqishni kim boshqarishini so'rang, chunki katalog yozuvi, ilova dasturchisi va ma'lum bir serverni yuritadigan shaxs uch xil tomon bo'lishi mumkin. DNS qanday boshqarilishini va siz ishlatadigan yo'llarda ECH qo'llab-quvvatlanishini so'rang, chunki ochiq matnli ClientHello DNS so'rovisiz ham saytni nomlaydi. Yuridik so'rovda nima bo'lishini so'rang va javobni niyat emas, qobiliyat tavsifi sifatida o'qing.
EFF ning VPN tanlash bo'yicha qo'llanmasi bu savollarga munosib tekshiruv ro'yxati va u biron bir xizmat haqida hukm emas, ramka. Marketing sahifasi saqlash siyosati emas. Bularning hech biri VPNni foydasiz qilmaydi; bu kimga ishonish kerakligini va nima uchun ekanini o'zgartiradi.