Чего VPN не скрывает

Когда туннель поднят, трафик покидает ваше устройство зашифрованным, доходит до конечной точки и выходит в интернет уже оттуда. Отсюда следуют две вполне конкретные вещи, и их стоит сформулировать точно, потому что всё остальное часто выводится из них неверно.

1. Ваша локальная сеть — кафе, отель, кампус, ваш провайдер — видит одно зашифрованное соединение к одному адресу вместо ваших отдельных адресатов. Она по-прежнему видит, сколько трафика и когда.
2. Сайты, которые вы посещаете, видят адрес конечной точки, а не ваш, что меняет их выводы о вашем местоположении и о том, в какой сети вы находитесь.

Это исчерпывающий список того, что даёт сам туннель. Всё сверх него зависит от того, верны ли другие обстоятельства.

Анонимность означает, что наблюдатель не может определить, что два действия совершил один и тот же человек. Туннель этого не даёт, и сразу несколько вещей этому мешают.

• Учётные записи. Вход в аккаунт называет вас по имени. Никакое сокрытие адреса этого не меняет, а подавляющая часть повседневного веб-сёрфинга происходит в залогиненном состоянии.
• Куки и локальное хранилище. Они переживают включение и выключение туннеля и связывают сессии по обе стороны этого переключения.
• Отпечаток браузера. Размеры экрана, шрифты, часовой пояс, языковые настройки, поведение графики и десятки более мелких признаков складываются в идентификатор, который нередко уникален и никак не связан с вашим адресом.
• Корреляция по времени. Наблюдатель, видящий оба конца туннеля, может сопоставить трафик по объёму и таймингу, ничего не расшифровывая.
• Ваше собственное поведение. Посещение одних и тех же нескольких аккаунтов и сайтов в одном и том же порядке само по себе отличительно.

Инструменты, созданные именно ради анонимности, идут на совсем другие компромиссы — несколько узлов-ретрансляторов, чтобы ни один оператор не знал обоих концов, единообразная конфигурация браузера, чтобы отпечатки схлопывались, и существенная плата скоростью и удобством. VPN не идёт ни на один из этих компромиссов, поэтому он быстр и поэтому он не анонимность.

Даже при работающем туннеле трафик может пойти другим путём без всяких явных признаков. Вот распространённые случаи, и у каждого есть своя проверка.

DNS мимо туннеля

Запросы имён уходят к резолверу локальной сети, а не через туннель. Содержимое вашего трафика остаётся защищённым, а список имён, которые вы искали, — нет. Проверьте, сравнив, какой резолвер отвечает при поднятом туннеле.

Прямой выход IPv6

Туннель, несущий IPv4, при работающем на устройстве IPv6 отправит трафик IPv6 напрямую наружу. Клиент должен либо нести IPv6 тоже, либо отключать его на время работы.

WebRTC

Браузерная технология связи в реальном времени, способная раскрыть странице локальные, а иногда и публичные адреса напрямую, независимо от того, как эта страница была загружена.

Трафик до поднятия туннеля

Всё отправленное между подключением к сети и установлением туннеля уходит открытым текстом. Обычный виновник — фоновая синхронизация ноутбука, выходящего из сна; смягчает это аварийный выключатель.

Приложения, обходящие системный маршрут

Некоторое ПО привязывается к конкретному интерфейсу или использует собственный сетевой стек и не пойдёт через туннель. Конфигурации раздельного туннелирования делают это намеренно, и легко забыть, что именно было исключено.

Если отбросить преувеличения, реальная польза того стоит, и о ней стоит сказать прямо.

• В недоверенной локальной сети её оператор перестаёт видеть, какими сайтами вы пользуетесь. Это настоящее и немедленное улучшение.
• Сайты, которые вы посещаете, перестают узнавать ваше сетевое расположение по адресу, что ограничивает один из распространённых входов для профилирования.
• Там, где сеть фильтрует по адресату, трафик, похожий на обычный разрешённый, может продолжать работать.
• Ваш провайдер перестаёт вести подомённую запись вашего сёрфинга, что очень существенно в юрисдикциях, где такие записи хранятся по закону.

Чего он не сделает — так это не сделает вас анонимным, не защитит скомпрометированное устройство, не скроет вашу личность от сервисов, в которые вы вошли, и не победит сеть, пропускающую только явный список адресов. Провайдер, чей маркетинг намекает на обратное, сообщает вам кое-что о самом провайдере.