Изключително безполезната идея да се използва VPN за поверителност в интернет. VPN се превръща в „кошер за мечки“ (honeypot). 🧐

Първо, какво прави един VPN. Инсталирате приложение. То изгражда шифрован тунел от вашето устройство до сървър, собственост на VPN компанията. Вашият трафик преминава през този тунел, а от VPN сървъра продължава към сайтовете, които посещавате. Сайтовете виждат адреса на VPN сървъра вместо вашия домашен адрес. Вашият интернет доставчик вижда шифрован поток към един сървър и нищо повече.

Това звучи като поверителност. Но не е. Вие премествате данните си от вашия интернет доставчик към VPN компания. Вашият доставчик вече не вижда с кои сайтове се свързвате. Вместо това операторът на VPN вижда това. Не решавате проблема, а просто го премествате.

Почти целият уеб трафик в наши дни е шифрован с HTTPS. Вашият доставчик така или иначе не би могъл да прочете съобщенията или паролите ви. Това, което той вижда, е към кои сайтове се свързвате, кога и колко данни протичат. Тази следа си има име: метаданни. VPN взема тази информация от доставчика ви и я предава на компания, за която знаете много по-малко. При това там сте създали акаунт, към който са прикрепени вашият имейл адрес и данни за плащане.

Има и по-ясен начин да се погледне на това. Тунелът шифрира вашия трафик спрямо всички извън него, а VPN е точката, където тунелът свършва, така че той чете това, което доставчикът ви не би могъл. Без VPN нито една страна по мрежовия път няма пълната картина. Вашият доставчик знае кой сте и до кои сървъри достигате, но не и какво правите там. Всеки сайт знае какво правите в него, но не и кой сте или къде другаде отивате. Знанието е разделено и нито една от половините не е пълна. VPN събира двете половини на едно място. От едната страна той разполага с истинския ви адрес. От другата страна има всеки сайт, който отваряте. В същия сървър, по същото време, свързани. Вие не премахнахте наблюдателя. Създадохте нов, който вижда повече, отколкото доставчикът ви някога би могъл, и на всичкото отгоре му плащате.

Дали тази компания записва нещо, е избор, който не можете да проверите отвън. „Без лог файлове“ е обещание, а не нещо, вградено в технологията. Трафикът така или иначе преминава през техните сървъри и този, който ги контролира, може да чете метаданните, да ги записва, продава или предава.

Тогава защо съществуват толкова много VPN компании и рекламата е навсякъде? Защото това са лесни пари. VPN компанията настройва сървърна ферма и насочва трафика през нея. Това е целият продукт. Зад него няма сложна услуга, само акаунти, трафик и месечен абонамент. Разходите са ниски, а маржовете – огромни. Продуктът не е поверителност. Продуктът е историята, че имате нужда от такава.

Има и втори проблем, вграден в самия бизнес. VPN компанията събира трафика на хора, които искат да го скрият. Обикновените потребители остават при своя доставчик. Внимателните се събират в шепа VPN компании, заедно с имената си, имейл адресите си и данните за плащане. Тази купчина данни е ценна за рекламодатели, брокери на данни, разузнавателни служби и престъпници. Вие не излизате от полезрението. Присъединявате се към по-малка, по-интересна група.

В сферата на сигурността система, която изглежда като нормална цел, но съществува, за да наблюдава всеки, който влезе, се нарича „кошер за мечки“ (honeypot). Един VPN се превръща в такъв по три начина:

  • Може да се управлява или да бъде превзет от хората, които ви наблюдават.
  • Може да бъде задължен по закон да предаде това, което вижда.
  • Или може да е изграден толкова лошо, че външни лица да четат трафика.

И в трите случая услугата продължава да работи. Тунелът се свързва, сайтовете се зареждат, абонаментът се подновява. Отвътре honeypot изглежда точно като инструмента за поверителност, за който сте платили. В това е целият смисъл. Facebook направи точно това с Onavo – безплатен VPN, който раздаваше като приложение за поверителност, докато го използваше, за да наблюдава какво правят потребителите му онлайн. Услугата за поверителност може да бъде операция за наблюдение и отвътре няма как да забележите разликата.

Обещанието вече е тествано и списъкът с доставчици, които го нарушиха, не е кратък:

  • PureVPN рекламираше липса на лог файлове, след което предаде времеви клейма на връзките на FBI. FBI съпостави момента на свързване на VPN акаунта с момента на използване на акаунтите на заподозрения и клиентът беше разкрит. Този трик се нарича атака чрез времева корелация. Без нужда от история на браузването.
  • IPVanish твърдеше, че има политика за нулево записване на лог файлове, докато записваше потребителската активност и предаде името, имейл адреса и домашния IP адрес на клиент на разследващите.
  • HideMyAss продаваше анонимно сърфиране, след което предаде записи на връзките, което доведе до осъждането на потребител.
  • UFO VPN и шест сродни марки рекламираха политики без лог файлове, докато отворен сървър изложи на показ над терабайт лог файлове, включително пароли в чист текст, на цели 20 милиона потребители.

Различни компании, различни държави, един и същ модел. Политиката казваше едно, сървърите – друго.