Любимый openVPN

Незатейливая story, для любителей впн за 300

Обычно диалог про VPN строится вокруг единственной угрозы - провайдер видит трафик - значит нужно его спрятать. Конечно логичность есть и она верная с одной стороны, но это неполный вывод. С одной стороны провайдер действительно перестаёт содержимое видеть. Но с другой стороны, кто-то же теперь видит его вместо провайдера. Дело в том, что кто-то и есть VPN-сервис. Фактически получилось что вы не устранили наблюдателя - вы его просто выбрали. И в отличие от провайдера, которого скорее всего вам навязали по месту жительства и который связан намертво лицензией, отчётностью и понятным набором законов, VPN-сервис вы сами выбираете, часто по рекламе в телеграм-канале, и чаще всего ровно ничего о нём не знаете.

Сейчас ниже про то, что этот наблюдатель технически способен увидеть, какие механизмы слежки в такой сервис встраиваются незаметно для пользователя, почему отдельная угроза это клиентское приложение и что со всем этим делать.

И так, что VPN-сервис видит по умолчанию

Не “может увидеть при желании”, а видит прямо сейчас, просто потому что находится в этой точке маршрута.

Ваш настоящий IP-адрес - тот самый, ради сокрытия которого всё затевалось. Сервис видит его первым, до всякого туннеля, в момент подключения. Вместе с ним видны провайдер, город и при мобильном подключении - оператор.

Все DNS-запросы - список каждого домена, к которому вы обращались. Содержимого страниц тут нет, но для профилирования этого и не надо - список сайтов рассказывает о человеке гораздо больше, чем содержимое любого из них.

Имена сайтов в открытом виде - HTTPS конечно шифрует содержимое, но имя сервера при установке соединения передаётся открыто (поле SNI), если явно не включена шифрующая его технология. Другими словами - на выходном узле видно куда именно вы идёте, даже когда не видно, что вы там делаете.

Метаданные соединений - время подключения, длительность сессии, объём переданных данных, ритм пакетов, к каким адресам и с какой периодичностью. Этого набора достаточно, чтобы построить график вашего дня, определить часовой пояс, отличить рабочее время от личного, увидеть, когда вы спите, и заметить, когда режим сменился.

Отпечаток устройства - версия операционной системы, версия клиента, тип соединения, MTU, особенности сетевого стека. Устойчивый набор признаков, по которому вас узнают при следующем подключении даже без учётной записи.

Платёж - если оплата картой или через платёжного посредника, к техническим данным добавляется и имя, и банк, и страна и постоянная история платежей на стороне, которую вы вообще никак не контролируете.

Идентификатор подписки - ссылка на конфигурацию, которую вам выдали, уникальна, каждое обращение к ней это отметка “этот человек, с этого адреса, в это время”. Даже если вы ни разу не подключились.

Заметьте! - Ни один пункт не требует злого умысла. Это не взлом и не нарушение, это просто свойство позиции в сети. Вопрос всегда один и он не про возможность, а про то, что с этой возможностью делают.

Теперь про то, что добавляется сознательно, так, что вы не заметите

Логирование, которое включено само - стандартные VPN-серверы пишут журналы по умолчанию - IP, время, длительность, идентификатор клиента. Чтобы это работало, не нужно ничего внедрять, нужно ничего не отключать. Собственно именно так устроено большинство сервисов - которые так сказать ничего плохого не задумывали.

Экспорт метаданных потоков - NetFlow, sFlow и подобные механизмы сохраняют не содержимое, а сводку - кто, куда, сколько и когда. Компактно, дёшево, хранится годами, и для деанонимизации этого достаточно. Строчка в конфигурации маршрутизатора, снаружи невидимая.

Зеркалирование трафика - копия потока уходит на отдельный узел. Со стороны пользователя не проявляется вообще ничем - ни скоростью, ни задержкой, ни поведением. Анализ на выходе - на выходном узле трафик расшифрован по определению, иначе он не ушёл бы в интернет. Там можно ставить DPI, собирать статистику по посещаемым ресурсам, вести профили, продавать агрегаты рекламным брокерам. Формально это часто даже не нарушает политику конфиденциальности, потому что она написана про “персональные данные”, а не про поведенческие профили.

Корреляция подписки с сессией - ключевой момент. Отдельно взятая запись “пользователь подключился” и отдельная запись “с этого узла был запрос к такому-то сайту” почти безобидны, но опасность появляется, когда их можно сопоставить. В типичной архитектуре они сопоставляются тривиально, потому что лежат в одной базе, на одной машине, у одного администратора.

Аналитика внутри приложения - крашлитики, метрики, счётчики сессий, рекламные SDK. Каждый такой компонент - это отдельный канал наружу, к третьей стороне, к которой вы не имеете отношения и о которой вам не сообщали.

Привязка к устройству - Push-токен, рекламный идентификатор, идентификатор установки. Всё это стабильные значения, которые живут дольше подписки и связывают вашу анонимную подписку с вашим совершенно неанонимным телефоном.

Есть отдельная угроза которая больше и это - приложение

Когда вы ставите VPN-клиент, вы выдаёте ему системное разрешение на построение VPN-туннеля. На обеих мобильных платформах это означает буквально следующее - приложение получает весь сетевой трафик устройства до того, как он попадёт в туннель. Не часть, не “трафик браузера” - а весь. Приложение находится ближе к вам, чем любой сервер в мире, оно видит данные в тот момент, когда они ещё не зашифрованы для передачи.

Плюс права - о которых обычно не думают - работа в фоне без ограничений, автозапуск при загрузке, канал автообновления, доступ к состоянию сети и списку установленных приложений (нужен для правил маршрутизации по приложениям, но применяется как угодно).

Дальше начинается вопрос проверяемости, и он решается не так, как принято думать

Открытый исходный код не равен безопасному приложению - между репозиторием на GitHub и файлом, который скачался вам из магазина, лежит сборка, которую делали не вы. Воспроизводимые сборки, позволяющие доказать, что бинарник собран именно из этого кода, в этой категории приложений почти не встречаются. Вы проверяете код, а устанавливаете бинарник и связь между ними держится на честном слове.

Закрытое приложение вы не проверяете вовсе - заявление “мы не собираем данные” это утверждение о намерениях. Оно может быть абсолютно искренним. Просто у вас нет способа отличить искреннее от неискреннего - а само наличие декларации ничего не доказывает - её пишет тот же, кто пишет код.

Обновление меняет всё - даже приложение, честно проверенное вами вчера, завтра обновится. Автоматически. Проверять придётся каждую версию, а этого не делает никто, включая тех, кто проверял первую.

Установка мимо магазина снимает последний фильтр - скачанный напрямую APK или DMG не проходит даже поверхностную модерацию платформы. При этом именно так распространяется значительная часть таких клиентов, потому что в магазинах они то появляются, то исчезают.

Теперь конкретно про Happ, Hiddify, Karing и Streisand

Все четыре это клиенты-обёртки над открытыми ядрами (Xray-core, sing-box). Сами протоколы, которые они реализуют, опубликованы и изучены. Различаются они как раз обёрткой, и различаются существенно: у Hiddify исходный код открыт и проект развивается сообществом, Happ распространяется как закрытый продукт коммерческой компании с декларацией об отсутствии сбора данных, у остальных ситуация где-то посередине и меняется от версии к версии.

Мы не утверждаем, что какой-то из них шпионит за пользователями. У нас нет таких данных, и мы конечно не планируем бросаться подобными обвинениями без доказательств. Мы утверждаем другое и это утверждение проверяется - вы не в состоянии подтвердить, что не шпионит. Ни для одного из них, ни для любого другого. Проверка потребовала бы разбора бинарника каждой версии на каждой платформе, и делать это ради установки приложения никто не будет.

Именно поэтому самая тревожная категория это не сторонние клиенты, а собственные приложения самих VPN-сервисов. Сторонний клиент хотя бы не знает, кто вы - он получает конфигурацию и работает с ней, а его разработчик не имеет отношения к вашей подписке и оплате. Фирменное приложение сервиса объединяет обе стороны в одних руках. Оно видит ваш трафик до туннеля и одновременно знает вашу учётную запись, вашу оплату, ваш идентификатор устройства и push-токен. Это уже не два источника данных, которые надо как-то связывать, это один источник, где всё связано изначально.

Отдельная категория риска - приложения, которые сервис предлагает скачать напрямую со своего сайта, минуя магазин. Иногда это вынужденная мера, потому что приложение удалили. Иногда способ обойти модерацию. Отличить одно от другого пользователь не может.

Что же делать

Не ставьте фирменное приложение сервиса. Если сервис работает только через своё приложение, это архитектурное решение в пользу сервиса, а не в вашу. Работоспособная альтернатива есть всегда: стандартные протоколы поддерживаются системными и независимыми клиентами.

Предпочитайте открытый код закрытому, понимая границу гарантии. Открытость не доказывает чистоту бинарника, но резко повышает цену незаметного вредительства: код читают, форкают и сравнивают тысячи людей.

Ставьте из магазина приложений, а не по прямой ссылке. Модерация платформы слабый фильтр, но всё же фильтр.

Проверьте DNS. Самая частая утечка. Если запросы уходят мимо туннеля, всё остальное теряет смысл: список ваших сайтов виден провайдеру независимо от того, включен VPN или нет. Проверяется за минуту на любом сервисе проверки утечек.

Смотрите не на политику, а на архитектуру. “Мы не храним логи” это обещание, которое ничего не стоит нарушить и невозможно проверить. “Журналы физически не пишутся на диск” это устройство системы. Первое зависит от порядочности, второе от инженерии, и только второе остаётся верным при смене владельца, изъятии сервера или судебном запросе.

Спросите, где вход и где выход. Если это одна машина, значит существует точка, где ваша личность и ваши запросы лежат вместе. Дальше вопрос не в том, злоупотребит ли кто-то этим, а в том, что возможность существует.

Разделяйте оплату и использование. Оплата картой создаёт постоянную запись у банка и платёжного посредника, которая переживёт и подписку, и сам сервис.

Не сводите всё к одному каналу. Один способ подключения означает, что в момент, когда его начнут блокировать, у вас не остаётся ничего.

Важно! Что в Coeur VPN устроено иначе

Мы не требуем ставить наше приложение. Подключение идёт через стандартные протоколы и работает со штатными и независимыми клиентами. Это осознанный отказ от самого удобного для сервиса решения, потому что фирменное приложение это как раз тот самый инструмент, который совмещает доступ к трафику до туннеля с доступом к вашей учётной записи. Мы предпочитаем не иметь такой возможности вообще, а не обещать ею не пользоваться.

Ни один узел не знает картину целиком. Вход и выход разнесены по разным серверам в разных юрисдикциях. Промежуточные узлы цепочки не хранят состояния - с них нечего изъять, потому что там ничего не накапливается. Изъятие любого одного звена не даёт связки “кто” с “куда”, а собрать все звенья требует одновременных процедур в нескольких правовых системах, которые между собой не сотрудничают.

Вы не закреплены за одной точкой входа. Подключения распределяются между узлами, а не привязаны к конкретной машине. Побочный эффект, важный для приватности - у вас нет постоянного “своего” сервера, на котором накапливалась бы история именно ваших подключений.

Логи не пишутся на носитель. Не “удаляются по расписанию” , а не существуют в виде файла - живут в оперативной памяти и исчезают при перезагрузке. Восстанавливать нечего.

Данные подписки зашифрованы на уровне полей. Не “база под паролем” , а каждое чувствительное значение отдельно. Ключ на серверах не хранится и попадает в память процесса только при запуске. Забрав сервер целиком, вы получаете шифротекст.

Оплата криптовалютой через собственный платёжный узел. Без сторонних посредников, которые видели бы, кто и за что платит.