Nhà vận hành VPN có thấy bạn truy cập những trang nào không?

Hỏi VPN có thể thấy gì, và câu trả lời phụ thuộc vào vị trí của bạn trên đường đi. Ở tầng phiên, nhà vận hành có sự kiện xác thực và số đếm byte. Ở tầng gói, họ có địa chỉ đích và thời điểm. Ở tầng DNS, họ có thể có chính các tên. Mỗi tầng trả lời một câu hỏi khác, và không có công tắc nào đưa bạn qua lại giữa chúng.

Xác định tầng trước khi đưa ra khẳng định

Cùng một kết nối tạo ra các bản ghi khác nhau ở mỗi điểm, và một tuyên bố về quyền riêng tư chỉ có nghĩa khi nêu tên điểm đó. Hãy đọc bảng theo từng cột: cái gì tồn tại ở tầng đó, nhà vận hành thấy được gì ở đó, và những bản ghi ấy vẫn chưa thể nói gì.

Đọc một tầng như toàn bộ bức tranh là khởi đầu của cả những khẳng định quá mức và sự yên tâm giả tạo. Nhà cung cấp nói không ghi lại việc duyệt web có thể đúng về ghi URL nhưng vẫn giữ bản ghi phiên, và một bản ghi gói chỉ hiện địa chỉ không biến thành lịch sử duyệt web nếu không tra ngược và phỏng đoán.

Khi đánh giá chính sách, hãy tìm câu mô tả từng tầng. Nếu chính sách không tách chúng ra, hãy hỏi những bản ghi nào tồn tại thay vì chấp nhận một tuyên bố chung về mã hóa.

Danh mục phiên: máy chủ OpenVPN tiêu chuẩn giữ gì

Mặc định, máy chủ OpenVPN không bắt lưu lượng. Đầu ra thông thường là một danh mục phiên: tài khoản đã xác thực, địa chỉ nguồn mà nó đến từ, dấu thời gian bắt đầu và kết thúc, địa chỉ tunnel được cấp và tổng byte theo mỗi chiều. Đó là danh mục các phiên, không phải danh sách đích đến.

Tùy chọn ghi nhật ký có thể thêm chi tiết. Mức độ chi tiết cao hơn ghi nhiều hơn về bắt tay, và tệp trạng thái có thể liệt kê các máy khách đang kết nối, nhưng không cái nào biến máy chủ thành proxy trong suốt. Tạo URL đòi hỏi kết thúc TLS hoặc chạy proxy rõ ràng, và cả hai đều thay đổi cấu trúc tin cậy thay vì bật một tính năng ẩn.

Vì thế phiên bản chính xác của khẳng định không có nhật ký duyệt web hẹp hơn vẻ ngoài của nó. Máy chủ không biết trang, nhưng biết rằng một phiên đã tồn tại và khoảng bao nhiêu dữ liệu đi qua nó. Bản ghi phiên đó có được giữ hay không, và bao lâu, là câu hỏi chính sách riêng.

Gói bên trong và bên ngoài là bằng chứng khác nhau

Bản ghi gói là cách xem thứ thực sự đi qua tunnel. Trên máy chủ, hãy nêu tên giao diện tunnel và ghi vào tệp có thể phân tích ngoại tuyến:

sudo tcpdump -ni tun0 -w /tmp/tun.pcap
sudo tcpdump -r /tmp/tun.pcap -nn | head

Tệp đó chứa lưu lượng bên trong đã giải mã: địa chỉ tunnel của máy khách làm nguồn, địa chỉ đích và cổng, kích thước gói và thời điểm. Nó không chứa đường dẫn HTTP hay nội dung phản hồi trừ khi TLS bị kết thúc ở đâu đó, và đây là dữ liệu nhạy cảm mà việc lưu giữ là quyết định chính sách chứ không phải tiện ích gỡ lỗi.

Bản ghi trên giao diện vật lý cho thấy điều khác. Ở đó bạn thấy các gói bên ngoài hướng tới điểm cuối VPN, bên trong là phần tải đã mã hóa. Địa chỉ không liên quan xuất hiện trong tệp đó là bình thường khi có bộ điều hợp ảo, vì thiết bị tunnel mang các luồng bên trong còn vận chuyển mã hóa mang các luồng bên ngoài.

Hỏi bản ghi ấy nhằm trả lời câu hỏi nào. Việc ứng dụng dùng tunnel thấy được trên bộ điều hợp ảo; khả năng tunnel tới được điểm cuối thấy được trên bộ điều hợp vật lý. Dùng một trong hai tệp như toàn bộ bức tranh tạo ra kết luận mà dữ liệu không đỡ nổi.

DNS là nơi các tên trở nên hữu hình

DNS vẫn là ngoại lệ thực tế. Trình phân giải thấy những tên được yêu cầu phân giải, nên ai vận hành nó biết máy khách tìm trang nào ngay cả khi các kết nối sau đó được mã hóa. Bản ghi tunnel cho thấy địa chỉ; trình phân giải cho thấy tên.

Kiểm tra trình phân giải đã dùng địa chỉ nào để tới một dịch vụ bên ngoài. Câu trả lời là địa chỉ ra của trình phân giải, và so sánh với lối ra VPN cho biết truy vấn có đi qua tunnel không:

dig +short myip.opendns.com @resolver1.opendns.com
dig example.com
sudo tcpdump -ni any udp port 53

Nếu địa chỉ đó khớp với kết nối cục bộ chứ không phải lối ra tunnel, thì việc tra cứu đã vòng qua VPN và tên hiện rõ trên đường cục bộ. Lặp lại kiểm tra sau khi cập nhật máy khách, vì phiên bản mới có thể đổi trình phân giải mà hồ sơ cài đặt.

DNS mã hóa di chuyển khả năng hiển thị chứ không xóa nó. Mạng không còn thấy truy vấn, nhưng trình phân giải vẫn thấy, và câu hỏi tin cậy chỉ đổi tay. Tên máy chủ TLS trong bắt tay của kết nối là một tín hiệu bộ phận khác: nó thường sống sót ngay cả khi phần tải mờ đục, nên địa chỉ đích không phải siêu dữ liệu duy nhất mà máy chủ chuyển tiếp có thể quan sát.

Ba loại bản ghi và ai có thể đọc

Kế toán phiên, bản ghi theo tên và bằng chứng rò rỉ là ba sản phẩm khác nhau với ba nghĩa vụ khác nhau. Nhật ký phiên rẻ và ít nhạy cảm, chúng trả lời ai đã kết nối và khi nào. Bản ghi theo tên cần trình phân giải có ghi nhật ký hoặc proxy rõ ràng, và tạo nghĩa vụ công bố với những người bị ảnh hưởng. Bằng chứng rò rỉ là một phép thử phía máy khách so sánh điều trình phân giải tiết lộ với lối ra tunnel.

Ghi lại bạn vận hành loại nào trong ba loại, ai có thể đọc và nó tồn tại bao lâu. Những tuyên bố rằng dịch vụ không giữ nhật ký mô tả một tầng, và chỉ đúng trong phạm vi đó. Cùng một nhà cung cấp có thể đúng về phiên nhưng sai về DNS.

Giữ phép thử có thể lặp lại: cùng truy vấn trình phân giải, cùng giao diện ghi và cùng phép so sánh. Một khẳng định về quyền riêng tư không thể kiểm chứng ở tầng được nêu tên là khẩu hiệu, không phải sự thật vận hành.