Mity o prywatności z VPN: co VPN chroni, a czego nie

VPN to przydatne narzędzie do ochrony prywatności, ale też jeden z najbardziej przereklamowanych produktów w sieci. Kilka konkretnych rzeczy robi dobrze, a wielu innych w ogóle nie robi. Ten poradnik wyjaśnia, co VPN może, a czego nie może chronić, skąd biorą się popularne mity i jak ocenić, czy VPN pasuje do zagrożeń, z którymi naprawdę się mierzysz.

Co właściwie robi VPN

VPN tworzy szyfrowane połączenie między twoim urządzeniem a serwerem należącym do dostawcy VPN. Twój ruch przechodzi przez to połączenie, a strony internetowe widzą adres serwera VPN zamiast adresu przydzielonego przez twojego dostawcę internetu. Jeśli chcesz najpierw poznać podstawy, zajrzyj do naszego poradnika czym jest VPN.

Ten opis jest celowo krótki, bo pokazuje zarówno siłę, jak i granice VPN. VPN nie zmienia tego, kim jesteś, co wpisujesz w formularzu logowania ani tego, co zdradza o sobie twoja przeglądarka.

Mit pełnej anonimowości

Reklamy często używają słów takich jak anonimowy, nie do wyśledzenia i niewidzialny. Żadne z nich nie opisuje tego, co daje VPN. W najlepszym razie VPN zapewnia pewien poziom prywatności przed określonymi podmiotami w określonych sytuacjach.

VPN nie daje anonimowości. Dostawca widzi, że twoje konto łączy się z jego serwerami, strony mogą cię znać, bo się na nich logujesz, a twoją przeglądarkę można rozpoznać także bez adresu IP. Uczciwiej będzie powiedzieć, że VPN przenosi część widoczności z jednego podmiotu na inny. To, czy taka zamiana jest opłacalna, zależy od tego, kogo się obawiasz.

Polityki logowania i co oznaczają

Wielu dostawców twierdzi, że nie prowadzi logów. To hasło brzmi precyzyjnie, ale takie nie jest. Usługa może zapisywać kilka rodzajów danych, a polityka może obejmować jedne, a inne pomijać.

• Logi połączeń: kiedy się połączyłeś, na jak długo i z jakiego adresu. Niektórzy dostawcy przechowują krótkotrwałe zapisy potrzebne do działania usługi lub ograniczania nadużyć.
• Logi aktywności: jakie strony odwiedziłeś lub co pobrałeś. Właśnie to większość osób ma na myśli, mówiąc o logowaniu.
• Dane konta i płatności: twój adres e-mail, metoda płatności i szczegóły subskrypcji. Prawie każda płatna usługa je przechowuje.

Czytając politykę, szukaj jasnych stwierdzeń dotyczących każdej z tych kategorii oraz informacji, jak długo dane są przechowywane. Niektórzy dostawcy płacą niezależnym audytorom za publikację raportu. To lepszy znak niż sama obietnica, ale audyt dotyczy konkretnego momentu i ograniczonego zakresu. Jeśli nie możesz znaleźć jasnej polityki, potraktuj to jako odpowiedź.

Zaufanie przenosi się z dostawcy internetu na dostawcę VPN

Bez VPN twój dostawca internetu widzi, z jakimi domenami łączy się twoje urządzenie. Z VPN widzi tylko połączenie z serwerem VPN, a dostawca VPN widzi to, co wcześniej widział dostawca internetu.

To sedno całego zagadnienia. VPN nie usuwa zaufania z obrazka. Przenosi je od firmy, z którą masz już umowę, w twoim kraju, do firmy, o której możesz wiedzieć bardzo niewiele. Dla wielu osób to nadal rozsądny ruch, na przykład w publicznym wifi albo wtedy, gdy nie ufają swojej sieci lokalnej. Dla innych to krok w bok.

Jeśli nie masz powodu, by nie ufać swojemu dostawcy internetu, VPN może niewiele dodać do twojej prywatności. Nasz poradnik jak wybrać VPN opisuje, co sprawdzić, gdy już zdecydujesz się na taką usługę.

Odcisk przeglądarki i zalogowane konta

Strony nie potrzebują twojego adresu IP, żeby cię rozpoznać. Dwie popularne metody działają z VPN i bez niego.

Zalogowane konta

Jeśli logujesz się do sieci społecznościowej, poczty, sklepu lub konta wyszukiwarki, ta usługa wie, kim jesteś. Zmiana adresu IP tego nie zmienia. Wszystko, co robisz po zalogowaniu, można powiązać z kontem. VPN nie sprawi, że zalogowana sesja stanie się anonimowa.

Pliki cookie i odcisk przeglądarki

Pliki cookie są zapisane na twoim urządzeniu, więc pozostają takie same, gdy zmienia się adres IP. Odcisk przeglądarki to zestaw informacji, które ona udostępnia, takich jak rozmiar ekranu, język, czcionki i strefa czasowa. Może być na tyle charakterystyczny, że pozwala rozpoznać urządzenie. VPN nie zmienia żadnej z tych rzeczy. Więcej pomagają osobne profile przeglądarki oraz przeglądarki ograniczające śledzenie.

Złośliwe oprogramowanie i phishing

VPN nie chroni przed złośliwym oprogramowaniem ani oszustwami. Jeśli pobierzesz zainfekowany plik przez VPN, będzie on tak samo zainfekowany. Jeśli wpiszesz hasło na fałszywej stronie logowania przez VPN, atakujący otrzyma je równie łatwo.

Niektóre aplikacje blokują znane złośliwe domeny, co może pomóc, ale to dodatek, a nie zamiennik rozsądnych nawyków. Phishing działa na ludzi, nie na sieci. Sprawdź nadawcę i adres strony, zanim się zalogujesz, i korzystaj z menedżera haseł, który nie uzupełni danych na stronie łudząco podobnej do prawdziwej.

HTTPS a VPN

Większość stron korzysta dziś z HTTPS, który szyfruje treści wymieniane między twoją przeglądarką a stroną. Ma to znaczenie przy pytaniu, kiedy VPN jest potrzebny.

W publicznej sieci wifi HTTPS już teraz uniemożliwia innym osobom w tej sieci odczytanie wczytywanych stron i przesyłanych danych. Mogą one jednak nadal widzieć, z jakimi domenami się łączysz. VPN dodaje warstwę, która ukrywa nawet to, i chroni ruch niekorzystający z HTTPS, na przykład w niektórych starszych aplikacjach lub usługach.

Oto jak te dwa rozwiązania wypadają w praktyce:

Żadne z nich nie chroni cię przed samą stroną i żadne nie zastępuje drugiego.

Wycieki DNS i IP

VPN pomaga tylko wtedy, gdy cały twój ruch naprawdę przez niego przechodzi. Czasem jego część omija VPN. Nazywamy to wyciekami i jest to częsty sposób, w jaki VPN zawodzi po cichu.

• Wycieki DNS: DNS to system zamieniający nazwę strony na adres. Jeśli twoje urządzenie wysyła te zapytania do dostawcy internetu zamiast przez VPN, dostawca nadal widzi, jakie strony odwiedzasz.
• Wycieki IP: niektóre funkcje przeglądarki mogą ujawnić twój prawdziwy adres, nawet gdy VPN jest włączony. Nowsze sieci używają też adresów IPv6, a jeśli VPN obsługuje tylko starszy typ IPv4, ruch przez IPv6 może go ominąć.

Możesz zmniejszyć to ryzyko. Poszukaj ustawienia kill switch, korzystaj z oficjalnej aplikacji i wykonaj test wycieków na renomowanej stronie, gdy jesteś połączony. Powtórz go po większych aktualizacjach lub gdy zmieniasz sieć.

Jurysdykcja i żądania udostępnienia danych

Każda firma VPN ma siedzibę w jakimś miejscu i utrzymuje serwery w różnych lokalizacjach. Prawo tych miejsc wpływa na to, do czego firma może zostać zobowiązana. Ogólnie rzecz biorąc, organy w wielu krajach mogą kierować do firm wnioski prawne, a firma, która przechowuje dane, może być zobowiązana do ich wydania. Firma, która przechowuje bardzo mało danych, ma niewiele do wydania.

Dlatego jasna polityka logowania ma większe znaczenie niż nazwa kraju na mapie. Przepisy dotyczące korzystania z VPN, przechowywania danych i prywatności bardzo różnią się między krajami i z czasem się zmieniają. Ten poradnik ma charakter ogólnej informacji i nie jest poradą prawną. Sprawdź zasady obowiązujące tam, gdzie mieszkasz i podróżujesz.

Darmowe VPN-y

Prowadzenie usługi VPN kosztuje, bo trzeba płacić za serwery, łącze, oprogramowanie i obsługę. Usługa, która nic nie kosztuje, musi jakoś na to zarobić. Nie oznacza to, że każda darmowa usługa jest szkodliwa, ale to powód, by czytać regulamin ze szczególną uwagą.

Darmowe usługi mogą zarabiać na przykład przez wyświetlanie reklam, ograniczanie prędkości lub ilości danych, aby skłonić cię do płatnego planu, oraz zbieranie i sprzedawanie informacji o tym, jak korzystasz z internetu. To ostatnie jest prawdziwym problemem dla prywatności, bo cały sens używania VPN polega na ograniczeniu liczby osób widzących twój ruch. Darmowa aplikacja, która zapisuje i sprzedaje dane o przeglądaniu, niweczy ten cel.

Zanim zainstalujesz jakikolwiek darmowy VPN, sprawdź, kto go prowadzi, jak zarabia i co mówi polityka prywatności. Jeśli nie potrafisz odpowiedzieć na te pytania, nie instaluj go.

Hasła reklamowe, do których warto podchodzić sceptycznie

Reklamy VPN pełne są dramatycznego języka. Nie musisz zakładać złej woli, ale takie hasła warto czytać krytycznie.

• „Szyfrowanie klasy wojskowej”. To fraza marketingowa, a nie standard techniczny. Szukaj w dokumentacji konkretnych nazw protokołów i szyfrów.
• „Pełna anonimowość” lub „nie do wyśledzenia”. Jak wyjaśniono wyżej, VPN nie może tego zapewnić.
• „Działa z każdą usługą streamingową”. Serwisy streamingowe aktywnie blokują adresy VPN, a to, co działa, często się zmienia. Żaden dostawca nie może obiecać trwałego dostępu. Zobacz nasz poradnik VPN na telefonie, routerze i w streamingu, aby dowiedzieć się, czego się spodziewać.
• Liczniki odliczające czas i ogromne zniżki. Przed zakupem przeczytaj warunki odnowienia. Nasz poradnik ceny VPN i odnowienia wyjaśnia, jak działają ceny promocyjne.

Godny zaufania dostawca opisuje ograniczenia równie jasno jak zalety.

Inne narzędzia, które uzupełniają VPN

Dla większości osób największą poprawę prywatności i bezpieczeństwa dają podstawowe nawyki i narzędzia, a nie VPN. Robią one rzeczy, których VPN nie potrafi.

• Aktualizacje oprogramowania. Aktualizuj system, przeglądarkę i aplikacje, ponieważ wiele ataków wykorzystuje znane luki.
• Menedżer haseł. Tworzy i przechowuje unikalne hasło do każdego konta, więc wyciek z jednej strony nie otwiera pozostałych. Pomaga też unikać fałszywych stron logowania.
• Uwierzytelnianie dwuskładnikowe. Drugi krok przy logowaniu, najlepiej przez aplikację uwierzytelniającą lub fizyczny klucz bezpieczeństwa, chroni konto, nawet jeśli hasło zostanie skradzione.
• Blokowanie trackerów. Ustawienia przeglądarki lub rozszerzenia z wiarygodnych źródeł mogą ograniczyć pliki cookie, trackery stron trzecich i część technik odcisku przeglądarki. To dotyczy tego, czego VPN nie rusza.

Realistyczna lista kontrolna modelu zagrożeń

Model zagrożeń to po prostu uczciwa odpowiedź na pytanie, co chcesz chronić i przed kim. Chroni cię przed kupowaniem rozwiązania problemu, którego nie masz. Przejdź przez te pytania.

1. Co chcę chronić? Przykłady to dane logowania w publicznym wifi, historia przeglądania przed moim dostawcą internetu, moja prawdziwa lokalizacja przed stroną lub dostęp do treści podczas podróży.
2. Kto może to zobaczyć? Przykłady to inne osoby w tej samej sieci, mój dostawca internetu, reklamodawcy, strona internetowa lub ktoś, kto celuje we mnie osobiście.
3. Czy VPN odpowiada na to ryzyko? Jeśli odpowiedź zależy od zalogowanych kont, złośliwego oprogramowania lub twojego własnego urządzenia, VPN tego nie rozwiąże.
4. Komu zaufałbym zamiast tego? Zdecyduj, czy ufasz dostawcy VPN bardziej niż obecnemu dostawcy internetu i dlaczego.
5. Co jeszcze jest potrzebne? Dodaj aktualizacje, menedżer haseł, uwierzytelnianie dwuskładnikowe i blokowanie trackerów tam, gdzie to ma sens.

Jeśli twoje szczere odpowiedzi wskazują na publiczne wifi, sieć, której nie ufasz, lub chęć ukrycia przeglądania przed dostawcą internetu, VPN jest rozsądnym narzędziem. Jeśli wskazują na anonimowość wobec stron, na których się logujesz, bezpieczeństwo przed złośliwym oprogramowaniem lub ochronę przed zdeterminowanym przeciwnikiem, sam VPN nie wystarczy. Aby iść dalej, przeczytaj nasz poradnik czym jest VPN, który daje podstawy, a potem porównaj opcje, korzystając z kroków opisanych w jak wybrać VPN.

Najważniejsze wnioski

• VPN ukrywa twój ruch przed siecią lokalną i dostawcą internetu oraz zmienia adres widoczny dla stron. Nie czyni cię anonimowym.
• Korzystanie z VPN przenosi zaufanie z dostawcy internetu na firmę VPN, więc polityka logowania dostawcy i jego dotychczasowa działalność mają znaczenie.
• Zalogowane konta, pliki cookie i odcisk przeglądarki identyfikują cię niezależnie od adresu IP.
• VPN nie zatrzyma złośliwego oprogramowania ani phishingu. Aktualizacje, menedżer haseł i uwierzytelnianie dwuskładnikowe robią tu znacznie więcej.
• HTTPS i VPN chronią różne części połączenia, a żadne z nich nie chroni cię przed odwiedzaną stroną.
• Sprawdzaj wycieki DNS i IP oraz korzystaj z kill switcha, jeśli jest dostępny.
• Darmowe VPN-y wymagają szczególnej ostrożności, bo pieniądze muszą skądś pochodzić.
• Podchodź sceptycznie do absolutnych twierdzeń o anonimowości, szybkości, bezpieczeństwie i dostępie do streamingu.
• Przepisy dotyczące VPN i żądań udostępnienia danych różnią się w zależności od kraju, więc sprawdź lokalne zasady.
• Zacznij od własnego modelu zagrożeń, a potem wybierz narzędzia, które do niego pasują.