VPN che giấu điều gì và để lộ điều gì
VPN che giấu điểm đến của bạn khỏi mạng truy cập và đổi IP ra của bạn. Nhưng nó không che giấu tài khoản, cookie, trạng thái thiết bị hay những gì nhà cung cấp thấy.
Khẳng định rằng VPN khiến bạn ẩn danh là huyền thoại đắt giá nhất trong quyền riêng tư của người tiêu dùng, vì nó đúng một nửa và nửa sai chính là nửa mà người ta dựa vào. Đường hầm thực sự che điểm đến của bạn khỏi mạng mà bạn đang ngồi, và che địa chỉ nhà của bạn khỏi trang bạn truy cập. Nhưng nó không che bạn là ai khi đăng nhập, trình duyệt của bạn mang theo gì hay nhà cung cấp VPN có thể quan sát được gì. Câu hỏi hữu ích không bao giờ là VPN có che bạn hay không, mà là bị che khỏi người quan sát nào, cho loại lưu lượng nào.
Huyền thoại: đường hầm là công tắc ẩn danh
VPN mã hóa đường đi giữa thiết bị của bạn và máy chủ VPN, rồi chuyển tiếp các yêu cầu của bạn từ địa chỉ máy chủ. Mọi thứ bạn gửi qua đường đó đều bị che khỏi nhà cung cấp Wi-Fi và nhà cung cấp dịch vụ internet phía trước đường hầm. Đó là thay đổi thật, và vì thế mạng khách sạn không còn thấy bạn mở những trang nào. Đây không phải ẩn danh, vì đường hầm di chuyển điểm quan sát thay vì loại bỏ nó.
Bản sửa này có ý nghĩa trong thực tế. Nếu bạn đăng nhập tài khoản công việc qua VPN, trang vẫn biết tài khoản. Nếu trình duyệt của bạn giữ cookie của mạng quảng cáo, đường hầm không xóa nó. Nếu ứng dụng khách được cấu hình để loại trừ lưu lượng cục bộ, lưu lượng đó không bao giờ vào đường hầm. Một ổ khóa trông đã đóng mô tả đường hầm, không phải tổng những gì bạn đã tiết lộ.
Mạng truy cập mất gì và giữ gì
Mạng truy cập, tức nhà cung cấp Wi-Fi hoặc nhà cung cấp dịch vụ internet mang kết nối của bạn đến máy chủ VPN, vẫn thấy rằng có kết nối VPN. Nó có thể ghi lại địa chỉ điểm cuối, thời điểm bạn kết nối, thời lượng phiên và lượng dữ liệu truyền đi. Phân tích lưu lượng theo dạng đó có thể hữu ích ngay cả khi nội dung không đọc được, và vì thế mã hóa và vô hình là hai khẳng định khác nhau.
Nó cũng giữ mọi thứ bạn nói trực tiếp với nó: đăng nhập cổng bắt giữ, số phòng, thanh toán để truy cập. Và nó có thể vẫn thấy DNS nếu ứng dụng khách hoặc bộ phân giải của hệ thống gửi truy vấn ra ngoài đường hầm. Sự rò rỉ đó phổ biến trong cấu hình đường hầm chia tách và trên thiết bị giữ máy chủ DNS của router hoặc nhà mạng. Kiểm tra bộ phân giải đang dùng khi kết nối, không chỉ địa chỉ ra.
| Observer | Still sees | Hidden by the tunnel |
|---|---|---|
| Access network | VPN endpoint, timing, volume, portal login | Destination hostnames and content |
| Website | Exit address, account, cookies, fingerprint | Your ordinary public address |
| VPN operator | Destination IP, often the hostname, DNS if used | HTTPS content, unless it intercepts TLS |
| Device | History, app data, permissions, screen | Nothing |
Trang web còn nhận ra gì
Trang thấy địa chỉ ra của máy chủ VPN, không phải địa chỉ nhà của bạn, với các kết nối dùng đường hầm. Đó là toàn bộ thay đổi ở mức IP. Những gì nó thấy ngoài địa chỉ không đổi: tài khoản bạn đăng nhập, cookie đã đặt trước đó, trình duyệt và hệ điều hành bạn trình bày, và thời điểm các yêu cầu của bạn. Một trang đã biết bạn không trở thành người lạ chỉ vì địa chỉ nguồn thay đổi.
Vị trí xứng đáng có dòng riêng. Trang hỏi trình duyệt vị trí nhận được câu trả lời do quyền của trình duyệt kiểm soát, không phải do VPN. GPS trên điện thoại độc lập với đường hầm. Vì thế một địa chỉ được định vị ở nước khác trong khi bản đồ vẫn hiển thị thành phố của bạn không phải lỗi VPN; đó là hai kênh vị trí khác nhau không thống nhất.
Dấu vân tay là nửa còn lại. Kích thước màn hình, phông chữ, múi giờ, ngôn ngữ và đầu ra canvas có thể phân biệt trình duyệt ngay cả khi địa chỉ được chia sẻ với hàng nghìn người dùng khác. VPN thay đổi một đầu vào của hồ sơ đó và để nguyên phần còn lại.
Nhà cung cấp có thể thấy gì
Nhà cung cấp kết thúc đường hầm của bạn và chuyển tiếp yêu cầu, nên nó ngồi ở nơi nhà cung cấp dịch vụ internet của bạn từng ngồi. Nó có thể thấy địa chỉ đích và, nếu không có lời chào ứng dụng khách được mã hóa, cả tên máy chủ bạn yêu cầu; nó thấy truy vấn DNS nếu bạn dùng bộ phân giải của nó; nó thấy khối lượng và thời điểm. Nó không thể đọc nội dung phiên HTTPS nếu không chặn bắt bằng chứng chỉ mà thiết bị của bạn tin cậy, và đó là một cuộc tấn công khác và ồn ào hơn.
Khả năng thấy không phải là lưu trữ. Nhà cung cấp có thể về mặt kỹ thuật quan sát một yêu cầu mà vẫn không ghi lại, hoặc ghi siêu dữ liệu kết nối và bỏ nội dung. Câu hỏi trung thực là chính sách và thẩm quyền của nhà cung cấp buộc phải giữ gì, và huy hiệu không lưu nhật ký không trả lời điều đó. Hãy coi nhà cung cấp là bên bạn chọn giao phó siêu dữ liệu của mình.
Thiết bị giữ gì, có hay không có đường hầm
Không có gì từ đường hầm đi vào bên trong thiết bị. Lịch sử duyệt web ở lại trình duyệt, tệp tải về ở lại hệ thống tệp, và ứng dụng có quyền truy cập micrô hoặc màn hình vẫn giữ quyền đó. Phần mềm giám sát trên máy có thể đọc dữ liệu trước khi mã hóa hoặc sau khi giải mã, và vì thế VPN không phải là phòng thủ trước một điểm cuối bị xâm phạm.
Điều tương tự áp dụng cho tài khoản. Cookie phiên sao chép từ thiết bị hoạt động từ bất kỳ địa chỉ nào, và mật khẩu dùng lại giữa các trang liên kết những danh tính mà không đường hầm nào tách rời. Nếu mối đe dọa bạn quan tâm là người đang cầm thiết bị, VPN không giải quyết được.
Hãy kiểm tra phạm vi bạn thực sự đã mua
Kiểm tra các thuộc tính bạn dựa vào thay vì tuyên bố tiếp thị. Khi đường hầm bật, hãy xem địa chỉ công cộng, bộ phân giải DNS và đường IPv6. Đường hầm chỉ IPv4 trên mạng hai ngăn xếp có thể để lưu lượng IPv6 hoàn toàn ở ngoài. Hướng dẫn của EFF về cách chọn VPN đặt cùng câu hỏi như một mô hình mối đe dọa chứ không phải bảng xếp hạng sản phẩm.
Sau đó kiểm tra hành vi khi thất bại. Ngắt đường hầm và xác nhận lưu lượng dừng lại hay quay về đường trực tiếp; điều đó phụ thuộc cài đặt kill switch của ứng dụng khách, không phải tên giao thức. Cuối cùng, liệt kê các ứng dụng và tiền tố mà ứng dụng khách loại trừ. Đường hầm chia tách là nơi phần lớn bất ngờ sinh sống, vì phạm vi bạn mua là phạm vi mà ứng dụng khách được cấu hình để cung cấp.