VPN-y i łańcuchy proxy

VPN (Virtual Private Network) tworzy zaszyfrowany tunel między urządzeniem a serwerem VPN. Ruch użytkownika wychodzi do internetu z adresu IP serwera VPN, ukrywając prawdziwy adres IP przed miejscami docelowymi.

Cała komunikacja między urządzeniem a serwerem VPN jest szyfrowana, co chroni przed odczytem treści ruchu przez sieć lokalną i dostawcę usług internetowych.

Narzędzia te mają częściowo podobne zastosowania, ale różnią się działaniem:

• Proxy: przekazuje ruch wybranej aplikacji, często bez szyfrowania.
• VPN: szyfruje cały ruch urządzenia do jednego serwera, któremu trzeba zaufać.
• Tor: zapewnia anonimowość przez wiele przekaźników obsługiwanych przez wolontariuszy, ale działa wolniej.

VPN zamienia konieczność zaufania wielu przekaźnikom (Tor) na konieczność zaufania jednemu dostawcy.

Dostawca VPN może widzieć Pana/Pani prawdziwy adres IP i wszystkie miejsca docelowe (choć nie widzi zaszyfrowanej treści). Zaufanie zostaje przeniesione z dostawcy internetu na firmę VPN.

Deklaracje „braku logów” są warte tyle, co uczciwość dostawcy i jurysdykcja, której podlega. VPN zwiększa prywatność wobec lokalnych obserwatorów, ale sam w sobie nie zapewnia silnej anonimowości.

Popularne protokoły VPN:

• WireGuard: nowoczesny, szybki, z niewielką bazą kodu i silnymi mechanizmami kryptograficznymi.
• OpenVPN: dojrzały, elastyczny i szeroko obsługiwany.
• IPsec/IKEv2: popularny na urządzeniach mobilnych, dobrze obsługuje ponowne łączenie.

Należy unikać starszego protokołu PPTP, który jest złamany pod względem kryptograficznym.

Łączenie oznacza kierowanie ruchu kolejno przez wiele warstw anonimowości, tak aby żaden pojedynczy punkt nie widział całej trasy. Idea jest prosta: nawet jeśli jedna warstwa zostanie naruszona, pozostałe nadal zapewniają ochronę.

Dwa znane połączenia to VPN przez Tor i Tor przez VPN. Kolejność ma znaczenie i zmienia zakres informacji widocznych dla poszczególnych stron.

Użytkownik -> VPN -> Tor -> miejsce docelowe.

• Dostawca internetu widzi połączenie z VPN, ale nie widzi, że używa Pan/Pani sieci Tor.
• Węzeł strażnik Tor widzi adres IP VPN, a nie prawdziwy adres IP użytkownika.
• Nadal trzeba zaufać dostawcy VPN, który wie, że korzysta Pan/Pani z Tor.

Rozwiązanie to ukrywa korzystanie z Tor przed dostawcą internetu, co jest przydatne w miejscach, gdzie Tor jest blokowany lub wzbudza podejrzenia.

Użytkownik -> Tor -> VPN -> miejsce docelowe.

• Węzeł wyjściowy Tor widzi wyłącznie VPN, a nie końcowe miejsce docelowe.
• Miejsce docelowe widzi adres IP VPN, co zapewnia stały adres wyjściowy.
• Dostawca VPN może powiązać aktywność z użytkownikiem, a za usługę trzeba zapłacić anonimowo.

To rozwiązanie jest bardziej złożone, rzadko potrzebne i łatwe do nieprawidłowego skonfigurowania.

Jeśli połączenie VPN zostanie zerwane, ruch może wyciec przez prawdziwe połączenie użytkownika. Wyłącznik awaryjny blokuje cały ruch, dopóki tunel nie będzie aktywny, zapobiegając przypadkowemu ujawnieniu adresu IP.

Bez wyłącznika awaryjnego krótkie ponowne łączenie może pozbawić użytkownika anonimowości. Przed poleganiem na tej funkcji należy zawsze sprawdzić, czy działa prawidłowo.

Nawet podczas korzystania z VPN mogą wystąpić wycieki ujawniające tożsamość:

• Wycieki DNS: zapytania DNS trafiają do dostawcy internetu zamiast przez tunel, ujawniając odwiedzane witryny.
• Wycieki WebRTC: przeglądarki mogą ujawnić prawdziwy adres IP za pośrednictwem WebRTC, nawet przy aktywnym VPN.

Należy przeprowadzić testy pod kątem tych wycieków i wyłączyć WebRTC lub używać konfiguracji chroniących przed wyciekami.

Łączenie wielu warstw zwiększa opóźnienia i złożoność, a każda kolejna warstwa stanowi następny element, który można skonfigurować nieprawidłowo. Większa liczba przeskoków nie oznacza automatycznie większego bezpieczeństwa.

Największym zagrożeniem są zwykle błędy operacyjne, a nie zbyt mała liczba przeskoków. Prawidłowo używana pojedyncza warstwa jest lepsza niż nieprawidłowo skonfigurowany łańcuch.

Istnieje też subtelny wyciek informacji: jeśli zapłaci Pan/Pani za VPN osobistą kartą kredytową, dostawca może powiązać konto z tożsamością użytkownika, co osłabi anonimowość, jeśli zostanie zmuszony do ujawnienia dokumentacji.

W przypadku wrażliwych działań operatorzy preferują dostawców akceptujących anonimowe płatności, posiadających jasną, poddaną audytowi politykę braku logów i działających w korzystnej jurysdykcji. Ślad płatności jest częścią OPSEC.

Proszę zastanowić się, kto widzi, że korzysta Pan/Pani z Tor.

Omówiono sieci VPN i łączenie warstw:

• VPN szyfruje cały ruch do jednego zaufanego serwera, ale sam w sobie nie zapewnia anonimowości.
• Należy używać nowoczesnych protokołów (WireGuard, OpenVPN) i nigdy nie używać PPTP.
• Tor przez VPN ukrywa korzystanie z Tor przed dostawcą internetu; VPN przez Tor zapewnia stały adres wyjściowy.
• Należy używać wyłącznika awaryjnego i sprawdzać, czy nie występują wycieki DNS/WebRTC.
• Większa liczba warstw zwiększa złożoność; prawdziwym zagrożeniem są błędy operacyjne.

Następny temat: fałszowanie adresów MAC i tożsamości urządzenia.