Ai có thể thấy lưu lượng VPN của bạn? Bốn người quan sát
Mạng cục bộ, nhà cung cấp VPN, người sử dụng lao động và điểm đích mỗi bên thấy một phần khác nhau. Hãy so sánh chúng trước khi tin tưởng một đường hầm vì quyền riêng tư.
Đường hầm thay đổi nơi lưu lượng của bạn trở nên có thể quan sát. Nó không làm lưu lượng trở nên không thể quan sát, và bên giành được khả năng nhìn thấy là bên mà bạn đã định tuyến lưu lượng qua. Sự đánh đổi đó có đáng hay không phụ thuộc vào việc bạn không tin chặng nào, nên so sánh hữu ích là giữa những người quan sát chứ không phải giữa các thương hiệu.
Bốn bên ngồi trên một kết nối
Theo dõi một yêu cầu từ máy tính xách tay ra ngoài và bốn vị trí xuất hiện: mạng truy cập bạn đã tham gia, lối ra VPN, môi trường doanh nghiệp nếu thiết bị được quản lý, và chính điểm đích. Mỗi bên chiếm một vị trí khác trên đường đi, nên mỗi bên thu thập một loại bằng chứng khác. Bảng là toàn bộ lập luận trong một cái nhìn.
| Observer | Sees | Does not see |
|---|---|---|
| Local network and ISP | That a tunnel exists, its endpoint, volume and timing | Destinations carried inside the tunnel |
| VPN operator | Source address, destinations, unencrypted content | Content protected end to end by TLS |
| Managed employer | Device telemetry, DNS and proxy logs, policy decisions | Nothing about the device is hidden from its owner |
| Destination | Exit address, account, cookies, client fingerprint | Who is behind the exit address |
Đọc bảng từ mối đe dọa ra ngoài. Nếu Wi-Fi quán cà phê là mối lo, hàng đầu tiên là thứ thay đổi; nếu nhà cung cấp là mối lo, bạn đã đổi một nhà vận hành này lấy một nhà vận hành khác và hàng thứ hai giờ quan trọng hơn. Các hàng không cạnh tranh nhau; mỗi hàng mô tả một vị trí khác trên cùng một đường đi.
Mạng truy cập vẫn thấy đường hầm
Nhà cung cấp của bạn hoặc mạng khách sạn thấy một kết nối tới địa chỉ IP, các byte được truyền và thời điểm chúng di chuyển. Nó không thấy các trang bên trong đường hầm, miễn là việc phân giải tên cũng đi bên trong đường hầm và điểm đích được đạt tới qua lối ra chứ không phải trực tiếp.
Hai rò rỉ tồn tại thường xuyên hơn người ta tưởng. Các truy vấn DNS gửi đến trình phân giải cục bộ vẫn nêu tên các trang, và tên máy chủ trong một lần bắt tay TLS thông thường có thể đọc được trên đường đi trừ khi dùng lời chào máy khách được mã hóa. Cả hai đều không được sửa bằng cách cài một ứng dụng khách; cả hai là câu hỏi cấu hình.
Nhà vận hành VPN, và người sử dụng lao động phía sau
Một nhà cung cấp thương mại đứng đúng nơi nhà cung cấp của bạn từng đứng: nó chuyển tiếp các gói của bạn và có thể đọc mọi thứ không được mã hóa riêng. Mật khẩu gõ vào một biểu mẫu HTTP thông thường vẫn đọc được ở lối ra dù chặng đầu đã được mã hóa. Đường hầm đã chuyển sự tin cậy, nó không xóa bỏ việc phơi bày. Hãy đọc chính sách ghi nhật ký của nhà cung cấp trước khi cho rằng việc đổi đã cải thiện điều gì.
Trên một máy tính xách tay công việc được quản lý, tổ chức sở hữu điểm cuối, nên việc quản lý thiết bị, ghi nhật ký DNS và bản ghi proxy đều quan sát nó dù có kết nối đường hầm hay không. VPN cá nhân không làm cho một thiết bị được quản lý trở nên riêng tư, và trên nhiều mạng đó là vi phạm chính sách chứ không phải biện pháp riêng tư.
Lưu lượng từ các thiết bị khác trong nhà bạn không hiển thị với người sử dụng lao động đó trừ khi máy tính công việc cố ý làm cổng cho chúng. Sự phân biệt đó quan trọng khi một hộ gia đình dùng chung một kết nối và giả định điều tồi tệ nhất.
Điểm đích, và những người hàng xóm ở lối ra
Trang bạn truy cập thấy địa chỉ lối ra, tài khoản bạn đã đăng nhập, cookie và các đặc điểm của trình duyệt. Đường hầm chỉ thay đổi mục đầu tiên, và việc đăng nhập vẫn gắn địa chỉ lối ra với bạn.
Các dịch vụ dùng chung thêm một rủi ro tinh vi hơn. Nếu nhà cung cấp không cô lập khách hàng với nhau, một máy đang lắng nghe trên một cổng có thể bị khách hàng khác ở cùng lối ra chạm tới. Chặn lưu lượng vào theo mặc định ở tường lửa của máy chủ bao phủ phần lớn rủi ro đó. Kiểm tra điều này nghĩa là kết nối thiết bị thứ hai vào cùng dịch vụ và cố chạm tới một cổng đang lắng nghe.
Một số thứ không bao giờ thay đổi: định danh tài khoản, theo dõi ở mức ứng dụng, và việc chính điện thoại biết nó đang chuyển tiếp lưu lượng khi bạn chia sẻ kết nối. Đường hầm là một quyết định định tuyến, không phải thay đổi danh tính.
Chọn người quan sát mà bạn đang trốn trước khi chọn sản phẩm. Nếu là mạng cục bộ, gần như mọi lối ra được cấu hình đúng đều giúp ích. Nếu là nhật ký của chính nhà cung cấp, hợp đồng là một phần của quyết định. Nếu là người sử dụng lao động của bạn, không đường hầm cá nhân nào làm được việc đó.