टोरेंट फ्रीक वीपीएन जो आपकी गोपनीयता को गंभीरता से लेते हैं

वीपीएन प्रदाता

यह यकीनन एक काफी व्यापक प्रारंभिक सूची है. Torrentfreak कर्मचारी समर्पित और जानकार लगते हैं, और उनके पहले के सर्वेक्षणों ने कई प्रदाताओं का ध्यान आकर्षित किया जो छोड़े गए थे. लेकिन दो प्रमुख सीमाएँ हैं. सबसे पहले, अधिक अस्पष्ट और कम-कुंजी गोपनीयता के अनुकूल वीपीएन सेवाएं TorrentFreak सूचियों पर दिखाई नहीं देती हैं (E).जी. क्रिप्टोस्टॉर्म). कुछ प्रदाता बिटटोरेंट उपयोगकर्ताओं को पूरा नहीं करते हैं और इस सूची में प्रदर्शित होने के लिए कोई प्रेरणा नहीं है. दूसरा, टॉरेंटफ्रीक, अधिकांश भाग के लिए, केवल वीपीएन प्रदाताओं की प्रतिक्रियाओं को संक्षेप में प्रस्तुत करता है, और उनके किसी भी दावे को सत्यापित नहीं किया है. दोनों समीक्षाओं में टिप्पणियाँ भी पढ़ने लायक हैं, वैसे, लेकिन हमेशा गंभीरता से नहीं लिया जा सकता है.

अपने वीपीएन सेवा प्रदाता से पूछने के लिए 18 प्रश्न

एक वीपीएन सेवा चुनना एक तंत्रिका -लेखन की परीक्षा हो सकती है. आप शायद स्नोडेन लीक और एनएसए संबंधित खुलासे के बारे में पढ़ेंगे. आप शायद अपनी गोपनीयता की सुरक्षा के लिए अपने आईएसपी पर भरोसा नहीं करते हैं (और जैसा कि एफटीसी ने हाल ही में निष्कर्ष निकाला है, आपको वास्तव में नहीं करना चाहिए). शायद आप अपनी सरकार पर भरोसा नहीं करते हैं. आप सभी सरकारों और निगमों को भी अविश्वास कर सकते हैं.

वास्तव में, आप इस गाइड पर भरोसा नहीं कर सकते हैं, और सोच सकते हैं कि यह सिर्फ एक विज्ञापन है. जबकि यह एक समझने योग्य चिंता है, मैं आपको पढ़ने के लिए आमंत्रित करता हूं, और अपने लिए न्याय करता हूं. मैं आपको यह पढ़ने के लिए भी आमंत्रित करता हूं कि यह VPN, TOR और इस तरह के बारे में मेरे अन्य लेखन के संदर्भ में, मुख्य रूप से वाइल्डर्स सुरक्षा मंचों और टोर पर.स्टैकेक्सचेंज.

यदि आप विशेष रूप से गोपनीयता के बारे में चिंतित हैं, तो आप वीपीएन प्रदाताओं के बारे में अपने शोध को अस्पष्ट करना चाह सकते हैं. हालांकि बहुत से लोग वीपीएन सेवाओं का उपयोग करते हैं, व्यापक शोध आपको छिपाने के लिए महत्वपूर्ण किसी व्यक्ति के रूप में ध्वजांकित कर सकता है. आप इस चरण (जैसे कि कैलेक्स वीपीएन) और मुफ्त वेबमेल (जैसे VFEMAIL) पर एक मुफ्त वीपीएन सेवा का उपयोग करके उस जोखिम को कम कर सकते हैं. इससे भी बेहतर गोपनीयता के लिए, आप टोर ब्राउज़र बंडल को टनल टोर को कैलेक्सवीपीएन के माध्यम से जोड़ सकते हैं, और VFEMAIL की छिपी हुई सेवा का उपयोग कर सकते हैं.

वीपीएन सेवाओं के बारे में अपेक्षाकृत कम विश्वसनीय और भरोसेमंद जानकारी ऑनलाइन उपलब्ध है. यह आम तौर पर ‘सर्वश्रेष्ठ वीपीएन’ और ‘वीपीएन रिव्यू’ साइटों को अनदेखा करना सबसे अच्छा है. अधिकांश फीचर पेड रिव्यू, और कुछ सुरक्षा रैकेट हैं, जिसमें वीपीएन सेवाओं के लिए खराब समीक्षाएं हैं जो अनुकूल समीक्षा खरीदने से इनकार करते हैं. यहां तक कि ईमानदार लोग आमतौर पर सिर्फ लोकप्रियता प्रतियोगिताएं होती हैं, जो क्लूलेस टोरेंट उपयोगकर्ताओं और वानाबे ‘हैकर्स’ का प्रभुत्व है. यदि आपको कभी भी एक समर्पित वीपीएन समीक्षा स्रोत से जानकारी प्राप्त करने की आवश्यकता है, तो उन लोगों के लिए देखें जो आउटगोइंग लिंक पर संबद्ध मापदंडों का उपयोग नहीं करते हैं (या इससे भी बेहतर, संदर्भित जानकारी निकालें).

Torrentfreak के सर्वेक्षण

Torrentfreak के VPN सर्वेक्षण मानदंड के लिए उल्लेखनीय अपवाद हैं. 2011 के अंत में, यह स्पष्ट हो गया कि लूज़लसेक के सदस्य ‘पुनरावर्तन’ की पहचान की गई थी और कनेक्शन लॉग के आधार पर गिरफ्तार किया गया था कि एफबीआई को प्रदान की जाने वाली वीपीएन सेवा हिडेमीसस. TorrentFreak ने Phiplation प्रकाशन द्वारा जवाब दिया ‘जो वीपीएन सेवा प्रदाता वास्तव में गुमनामी को गंभीरता से लेते हैं?'(अब “के रूप में फिर से तैयार किया गया है जो वीपीएन प्रदाता वास्तव में गोपनीयता को गंभीरता से लेते हैं?”). यह Q & A मूल संस्करण के बाद से वार्षिक रूप से अद्यतन किया गया है, अब 12 गोपनीयता से संबंधित प्रश्नों के लिए अनएडिटेड उत्तरों की आपूर्ति कर रहा है.

ये निम्नलिखित हैं (2021 के रूप में):

क्या आप किसी भी डेटा को रखते हैं (या तीसरे पक्ष के साथ साझा करते हैं) जो आपको अपनी सेवा के वर्तमान या पूर्व उपयोगकर्ता के लिए एक आईपी-पता और टाइमस्टैम्प से मेल खाने की अनुमति देगा? यदि हां, तो वास्तव में आप क्या जानकारी रखते हैं/साझा करते हैं और कब तक?
वह नाम क्या है जिसके तहत आपकी कंपनी शामिल है (+ मूल कंपनियां, यदि लागू हो) और किस अधिकार क्षेत्र में आपकी कंपनी संचालित होती है?
आपकी सेवा के दुरुपयोग की निगरानी और कम करने के लिए किन उपकरणों का उपयोग किया जाता है, जिसमें समवर्ती कनेक्शन पर सीमाएं शामिल हैं यदि ये लागू किए गए हैं?
क्या आप किसी भी बाहरी ईमेल प्रदाताओं का उपयोग करते हैं (ई).जी. Google Apps), एनालिटिक्स, या सपोर्ट टूल्स (ई).जी लाइव सपोर्ट, Zendesk) जो उपयोगकर्ताओं द्वारा प्रदान की गई जानकारी रखते हैं?
यदि आप एक DMCA टेकडाउन नोटिस या एक गैर-अमेरिकी समकक्ष प्राप्त करते हैं, तो ये कैसे संभाला जाता है?
इस घटना में क्या कदम उठाए जाएंगे, एक अदालत आपकी कंपनी को आपकी सेवा के एक सक्रिय या पूर्व उपयोगकर्ता की पहचान करने का आदेश देती है? आपकी कंपनी अदालत के आदेश का जवाब कैसे देगी, जिसके लिए आपको आगे जाने वाले उपयोगकर्ता के लिए गतिविधि को लॉग करने की आवश्यकता है? क्या ये परिदृश्य अतीत में कभी खेले गए हैं?
बिटटोरेंट और अन्य फाइल-शेयरिंग ट्रैफ़िक सभी सर्वरों पर अनुमत है? यदि नहीं, तो क्यों? क्या आप पोर्ट अग्रेषण सेवाएं प्रदान करते हैं? क्या कोई बंदरगाह अवरुद्ध हैं?
आप कौन से भुगतान सिस्टम/प्रदाताओं का उपयोग करते हैं? क्या आप यह सुनिश्चित करने के लिए कोई उपाय करते हैं कि भुगतान विवरण खाता उपयोग या आईपी-असाइनमेंट से जुड़ा नहीं हो सकता है?
सबसे सुरक्षित वीपीएन कनेक्शन और एन्क्रिप्शन एल्गोरिथ्म क्या है जो आप अपने उपयोगकर्ताओं को सुझाएंगे?
क्या आप “किल स्विच” जैसे उपकरण प्रदान करते हैं यदि कोई कनेक्शन गिरता है और DNS/IPv6 लीक सुरक्षा? क्या आप दोहरी स्टैक IPv4/IPv6 कार्यक्षमता का समर्थन करते हैं?
क्या आपके कोई वीपीएन सर्वर तीसरे पक्ष द्वारा होस्ट किए गए हैं? यदि हां, तो आप उन भागीदारों को किसी भी इनबाउंड और/या आउटबाउंड ट्रैफ़िक पर स्नूपिंग से रोकने के लिए क्या उपाय करते हैं? क्या आप अपने स्वयं के DNS सर्वर का उपयोग करते हैं?
किन देशों में आपके सर्वर शारीरिक रूप से स्थित हैं? क्या आप आभासी स्थान प्रदान करते हैं?

उनके परिणामों का परिचय, वे ध्यान दें:

सही वीपीएन चुनना एक मुश्किल प्रयास हो सकता है. वहाँ सैकड़ों वीपीएन सेवाएं हैं, सभी आपको निजी रखने के लिए वादा करते हैं लेकिन कुछ दूसरों की तुलना में अधिक निजी हैं. अपनी आवश्यकताओं के लिए सबसे अच्छा एक चुनने में आपकी मदद करने के लिए, हमने दर्जनों वीपीएन से अपनी लॉगिंग प्रथाओं का विस्तार करने के लिए कहा, वे टोरेंट उपयोगकर्ताओं को कैसे संभालते हैं, और वे आपको यथासंभव गुमनाम रखने के लिए और क्या करते हैं.

यह यकीनन एक काफी व्यापक प्रारंभिक सूची है. Torrentfreak कर्मचारी समर्पित और जानकार लगते हैं, और उनके पहले के सर्वेक्षणों ने कई प्रदाताओं का ध्यान आकर्षित किया जो छोड़े गए थे. लेकिन दो प्रमुख सीमाएँ हैं. सबसे पहले, अधिक अस्पष्ट और कम-कुंजी गोपनीयता के अनुकूल वीपीएन सेवाएं TorrentFreak सूचियों पर दिखाई नहीं देती हैं (E).जी. क्रिप्टोस्टॉर्म). कुछ प्रदाता बिटटोरेंट उपयोगकर्ताओं को पूरा नहीं करते हैं और इस सूची में प्रदर्शित होने के लिए कोई प्रेरणा नहीं है. दूसरा, टॉरेंटफ्रीक, अधिकांश भाग के लिए, केवल वीपीएन प्रदाताओं की प्रतिक्रियाओं को संक्षेप में प्रस्तुत करता है, और उनके किसी भी दावे को सत्यापित नहीं किया है. दोनों समीक्षाओं में टिप्पणियाँ भी पढ़ने लायक हैं, वैसे, लेकिन हमेशा गंभीरता से नहीं लिया जा सकता है.

फिर भी, तीन प्रदाताओं के बारे में रहस्योद्घाटन – EarthVPN.कॉम, प्रॉक्सी.SH और PureVPN – प्रदाताओं के गोपनीयता दावों पर भरोसा करने के जोखिम को प्रदर्शित करता है. 2013 की शुरुआत में, एक EarthVPN ग्राहक को कथित तौर पर नीदरलैंड में अपने होस्टिंग प्रदाता द्वारा रखे गए लॉग के आधार पर गिरफ्तार किया गया था. EarthVPN ने जिम्मेदारी से इनकार किया, यह सुनिश्चित करते हुए कि वे लॉग नहीं रखते हैं ‘, और कहा कि वे अब उस प्रदाता का उपयोग नहीं करते हैं. यद्यपि EarthVPN और उसके ग्राहक (यहाँ और यहाँ) के बीच वास्तविक संवाद अब खुले तौर पर सुलभ नहीं है, AirVPN मंचों में उद्धरण और चर्चा हैं. इसके अलावा, ध्यान रखें कि आईएसपी आसानी से लॉग इन कर सकते हैं जितना होस्टिंग प्रदाता कर सकते हैं.

Torrentfreak के 2011 और 2013 के सर्वेक्षणों में, प्रॉक्सी.SH ने जवाब दिया: ‘कोई जानकारी नहीं की जा रही है या हमारी सुविधाओं में आयोजित की जा रही है. हमारी सेवाएं रैम से चलती हैं और हमारी सभी सिस्टम सेवाएं अत्याधुनिक कॉन्फ़िगरेशन के साथ आती हैं जो सुनिश्चित करती है कि उपयोग के बाद कुछ भी नहीं बचा है.’हालांकि, सितंबर 2013 के अंत में, उन्होंने अपने एक अमेरिकी सर्वर पर वायरशार्क स्थापित किया, और कई घंटों के लिए पैकेट कैप्चर को बनाए रखा. यह कथित तौर पर उनके ग्राहकों में से एक द्वारा हैकिंग और उत्पीड़न के बारे में शिकायतों के लिए एक स्वैच्छिक प्रतिक्रिया थी. अधिक बारीकियों के लिए, इन टॉरेंटफ्रेक लेखों को देखें (यहां और यहां). Torrentfreak के 2014 के सर्वेक्षण में, प्रॉक्सी.SH ने पहले प्रश्न का उत्तर दिया:

हम कोई लॉग नहीं रखते हैं और हम किसी भी आईपी-पता, हेडर या कुछ भी रिकॉर्ड नहीं करते हैं. टाइम स्टैम्प के संदर्भ में, हम केवल समर्थन टिकट निर्माण और अद्यतन से जुड़े लोगों को रिकॉर्ड करते हैं (प्रबंधन उद्देश्यों के लिए इनवॉइस और नवीनीकरण केवल तिथि के अनुसार दर्ज किए जाते हैं). केवल व्यक्तिगत जानकारी जो हम रिकॉर्ड करते हैं वह एक ईमेल पता और एक भुगतान प्रकार है, जो या तो “मनी” या “बिटकॉइन” शब्द से मेल खाती है. यह हमारी गोपनीयता नीति में स्पष्ट किया गया है. हमारा सिस्टम भी सेवा क्रेडेंशियल्स, अर्थात् खाता पासवर्ड और नेटवर्क लॉगिन/पासवर्ड पेयर भी आयोजित करेगा. यह सब डेटा ग्राहक के अनुरोध पर किसी भी समय स्थायी रूप से हटाया जा सकता है. हमारे संचालन में शामिल अन्य सभी डेटा और जानकारी (कनेक्शन, ट्रैफ़िक, आदि.) न तो निगरानी की जाती है और न ही रिकॉर्ड की जाती है.

वीपीएन प्रदाता का एक और हालिया उदाहरण 2017 में कोई लॉग नहीं रखने के बारे में झूठ बोलते हुए पकड़ा गया. जैसा कि BleepingComputer में बताया गया है कि FBI ने PureVPN से प्राप्त IP एड्रेस लॉग की मदद से एक साइबरस्टॉकिंग संदिग्ध को गिरफ्तार किया है।. PureVPN ने दावा किया (और अभी भी दावा करता है) वे ग्राहक गतिविधियों के बारे में कोई लॉग नहीं रखते हैं.

इसके विपरीत, ये घटनाएं यह भी प्रदर्शित करती हैं कि समाचार इंटरनेट पर बहुत जल्दी फैल जाता है. इस सब को ध्यान में रखते हुए, मैं निम्नलिखित मानदंडों को पूरा करने वाली वीपीएन सेवाओं के साथ शुरू करने की सलाह देता हूं:

यह टॉरेंटफ्रेक के सर्वेक्षण में दिखाई देता है (दूसरों को अपनी शॉर्टलिस्ट में जोड़ना जो आपको लगता है कि अनुचित रूप से छोड़ा गया था).
यह टॉरेंटफ्रीक के सर्वेक्षणों में लॉगिंग के रूप में सूचीबद्ध नहीं है.
यह कम से कम तीन साल से व्यापार में है.
एक घंटे या तो वेब खोज से पता चलता है कि गोपनीयता उल्लंघन का कोई सबूत नहीं है.

आगे सकारात्मक संकेत आप देख सकते हैं:

ओपन सोर्स वीपीएन एप्लिकेशन.
स्वतंत्र, तृतीय-पक्ष ऑडिटरों से सार्वजनिक रूप से उपलब्ध ऑडिट परिणाम जो नो-लॉग्स दावों की जांच करते हैं. ऑडिट हालांकि, उनके दायरे से विवश हैं और केवल एक अस्थायी दृष्टिकोण प्रदान करते हैं, वे दावों के बारे में लगातार प्रमाण नहीं हैं.

Torrentfreak के हालिया सर्वेक्षण में VPN सेवाओं के सभी लगातार लॉग रखने से इनकार करते हैं. डेटा-रिटेंशन आवश्यकताओं के संदर्भ में इस तरह के दावों की बहुलता का आकलन करना कीड़े का एक कैन है. दावा है कि अमेरिका में कोई डेटा-रिटेंशन आवश्यकताएं नहीं हैं जो एडवर्ड स्नोडेन द्वारा जारी एनएसए दस्तावेजों के प्रकाश में हंसी योग्य हैं. 1995 के डेटा संरक्षण निर्देश और राष्ट्रीय विधानों के बीच GDPR और तनाव के पारित होने के बाद से यूरोप में स्थिति जटिल है. एनएसए जासूसी और यूरोपीय संघ के संचालन के साथ यूरोपीय संघ की सटीक सीमा अज्ञात है और अधिक अनिश्चितता जोड़ता है. आम तौर पर इस मुद्दे के बारे में अधिक जानकारी के लिए, ईएफएफ का सारांश पृष्ठ देखें.

प्रश्न प्रस्तुत करता है

अपनी खोज पर ध्यान केंद्रित करने में, वीपीएन प्रदाताओं का चयन करना महत्वपूर्ण है जो आपके विशिष्ट गोपनीयता लक्ष्यों का समर्थन करते हैं. मैं प्रदाताओं की वेबसाइटों को ध्यान से ब्राउज़ करने की सलाह देता हूं, और उनकी सेवा और गोपनीयता नीति की शर्तों को ध्यान से पढ़ता हूं. स्पष्ट और अस्पष्ट भाषा की तलाश करें, और कानूनी बॉयलरप्लेट पर संदेह करें.

उदाहरण के लिए, यदि आप बिटटोरेंट के माध्यम से कॉपीराइट मीडिया को साझा करने की योजना बनाते हैं, तो स्पष्ट रूप से उन प्रदाताओं से बचने के लिए सबसे अच्छा है जो स्पष्ट रूप से इस तरह के उपयोग को हतोत्साहित करते हैं. यदि कई निकास आईपी पते की उपलब्धता महत्वपूर्ण है, तो तदनुसार चुनें, लेकिन विविधता और सुरक्षा के बीच तनाव पर विचार करें. यह यकीनन अधिक संभावना है कि कई निकासों वाले प्रदाता आभासी निजी सर्वर का उपयोग कर रहे हैं.

प्राइसेल प्रश्नों के साथ प्रदाताओं से संपर्क करने में, बुनियादी प्रश्नों के साथ शुरू करें, जैसे कि #1, #3, #5 और #7 TorrentFreak सूची से. यह आम तौर पर प्रश्न पूछना सबसे अच्छा है जिसके लिए आपके पास विश्वसनीय और स्वतंत्र उत्तर हैं. हालाँकि, कम से कम शुरू में, यह भी सबसे अच्छा है कि आप जो कुछ भी सीख चुके हैं, उसे उजागर किए बिना पूछना सबसे अच्छा है.

कैसे संभावित वीपीएन प्रदाता आपके सवालों का जवाब देते हैं. आप ऐसे उत्तर चाहते हैं जो शीघ्र, पूर्ण, स्पष्ट और सटीक हों. तकनीकी प्रश्नों के लिए अस्पष्ट या गलत उत्तर बेईमानी और/या अक्षमता का मतलब है. देरी से उत्तर भविष्य के ग्राहक सहायता के लिए अच्छी तरह से नहीं हैं.

यहां कुछ अतिरिक्त प्रश्न दिए गए हैं जो आप पूछ सकते हैं, उसके बाद अपेक्षित उत्तर और स्पष्टीकरण के बाद. तकनीकी प्रश्नों के लिए, OpenVPN मैनुअल और हाउ-टू, और वायरगार्ड के आधिकारिक पृष्ठ उपयोगी संसाधन हैं.

क्या एक मासिक बैंडविड्थ-उपयोग सीमा है?
क्या आप थ्रॉटल कनेक्शन जो अत्यधिक बैंडविड्थ का उपयोग करते हैं?
प्रति खाते में कितने समवर्ती कनेक्शन की अनुमति है?
आपके वीपीएन कनेक्शन में कितने हॉप हैं?
वीपीएन एन्क्रिप्शन के किस प्रकार का उपयोग करते हैं? क्यों?
क्या आप परफेक्ट फॉरवर्ड गोपनीयता का समर्थन करते हैं? यदि हां, तो कैसे?
क्या आप Diffie Hellman कुंजी फ़ाइलों के साथ उपयोगकर्ता प्रदान करते हैं?
आप ग्राहकों को कैसे प्रमाणित करते हैं – प्रमाणपत्र/कुंजियाँ, या उपयोगकर्ता नाम/पासवर्ड?
क्या आप HMAC- आधारित TLS प्रमाणीकरण को नियोजित करते हैं? यदि हां, तो क्यों?
क्या आप कभी ग्राहकों को उपयोगकर्ता नाम और पासवर्ड ईमेल करते हैं?
क्या प्रत्येक ग्राहक के पास एक अद्वितीय ग्राहक प्रमाण पत्र और कुंजी है?
क्या आपके वीपीएन गेटवे सर्वर होस्ट किए गए, सह-स्थित या इन-हाउस हो गए हैं?
क्या आपके वीपीएन गेटवे सर्वर में से कोई भी वीपी या क्लाउड सर्वर पर चल रहा है?
आपके वीपीएन गेटवे सर्वर कैसे संरक्षित हैं?
उपयोगकर्ता खाता जानकारी कहाँ संग्रहीत है?
सर्वर के बीच संचार कैसे सुरक्षित है?
क्या आप उपयोगकर्ताओं द्वारा पोर्ट अग्रेषण की अनुमति देते हैं?
क्या सभी क्लाइंट पोर्ट कभी भी डिफ़ॉल्ट रूप से अग्रेषित किए जाते हैं? यदि हां, तो किस सर्वर पर?

जवाब

क्या एक मासिक बैंडविड्थ-उपयोग सीमा है? यह प्रतिबंध हाल के वर्षों में कम आम हो गया है. कुछ प्रदाता उन्हें मुफ्त स्तरों के लिए उपयोग करते हैं ताकि संभावित ग्राहक एक भुगतान योजना के लिए प्रतिबद्ध होने से पहले अपनी सेवा का नमूना ले सकें. भुगतान किए गए सदस्यता के लिए उपयोग की सीमाएं वीपीएन पुनर्विक्रेताओं के लिए अधिक सामान्य हैं, इसलिए शायद उन प्रदाताओं से बचने के लिए सबसे अच्छा है जो उन्हें थोपते हैं.
क्या आप थ्रॉटल कनेक्शन जो अत्यधिक बैंडविड्थ का उपयोग करते हैं? यहां सबसे अच्छा जवाब आपके लक्ष्यों पर निर्भर करता है. सबसे तेजी से संभव कनेक्शन चाहते हैं. हालाँकि, यदि आपके पास बहुत तेज़ ISP लिंक है, तो आप अपने VPN निकास को साझा करने वाले किसी और की तुलना में कहीं अधिक ट्रैफ़िक बढ़ सकते हैं. और यह आपकी गुमनामी को कम करता है.
प्रति खाते में कितने समवर्ती कनेक्शन की अनुमति है? कई निकासों के साथ वीपीएन सेवाओं के लिए, यह कभी -कभी एक साथ कई छद्म नाम के रूप में काम करने के लिए सुविधाजनक होता है, प्रत्येक अपने स्वयं के निकास का उपयोग कर रहा है. इसके अलावा, आप एक साथ कई उपकरणों से जुड़ना चाह सकते हैं. हालांकि, यह खाता-साझाकरण दुरुपयोग की भी सुविधा प्रदान करता है, जो वीपीएन सर्वर को ओवरलोड कर सकता है और आपके कनेक्शन को धीमा कर सकता है.
आपके वीपीएन कनेक्शन में कितने हॉप हैं? अधिकांश वीपीएन सेवाएं सिर्फ एक-हॉप कनेक्शन प्रदान करती हैं. यही है, आप एक वीपीएन गेटवे सर्वर से कनेक्ट करते हैं, और आपका ट्रैफ़िक एक ही सर्वर से इंटरनेट से बाहर निकलता है, या शायद उसी स्थानीय नेटवर्क पर किसी अन्य सर्वर से. एक-हॉप कनेक्शन के साथ, विरोधी के लिए ट्रैफ़िक में प्रवेश करने और वीपीएन सर्वर को छोड़ने के लिए यह आसान है.
वीपीएन एन्क्रिप्शन के किस प्रकार का उपयोग करते हैं? क्यों? OpenVPN दो अलग -अलग मोड में काम कर सकता है. एक साझा स्थैतिक कुंजी का उपयोग करके एक प्रमाणित और एन्क्रिप्ट करता है. जबकि यह स्थापित करने के लिए बहुत सरल है, प्रमुख समझौता एक विरोधी को सभी पूर्व ट्रैफ़िक को डिक्रिप्ट करने की अनुमति देता है. कोई भी प्रतिष्ठित प्रदाता इसका उपयोग नहीं करता है. लेकिन अगर आप किसी प्रदाता से सिर्फ एक कुंजी फ़ाइल प्राप्त करते हैं, तो इसे एक पाठ संपादक में खोलें, और अंतिम पंक्ति को देखें. यदि इसमें ‘प्रमाण पत्र’ शामिल है, तो आप ठीक हैं. लेकिन अगर इसमें ‘कुंजी’ शामिल है, तो धनवापसी का अनुरोध करें.अन्य OpenVPN मोड एक नियंत्रण चैनल के रूप में SSL/TLS का उपयोग करता है, और समय -समय पर स्थिर कुंजियों के साथ डेटा चैनल को एन्क्रिप्ट करता है. यदि एक विरोधी उन डेटा-चैनल कुंजियों में से एक से समझौता करने का प्रबंधन करता है, तो वे केवल उस ट्रैफ़िक को डिक्रिप्ट कर सकते हैं, न कि किसी भी अतीत या भविष्य के यातायात. दूसरे शब्दों में, ‘सही फॉरवर्ड सेक्रेसी’ है. डिफ़ॉल्ट रूप से, OpenVPN SSL/TLS नियंत्रण-चैनल हैंडशेक, और BF-CBC (128-बिट) को डेटा-चैनल सिफर के रूप में प्रमाणित करने वाले प्रमाण पत्रों के लिए 1024-बिट आरएसए का उपयोग करता है।. यह शायद ज्यादातर मामलों में काफी अच्छा है, सही फॉरवर्ड गोपनीयता को देखते हुए. हालांकि, यह तर्कपूर्ण है कि 2048-बिट आरएसए और एईएस -256-सीबीसी (256-बिट) का उपयोग करने वाले प्रदाता आम तौर पर अधिक सुरक्षा सचेत होते हैं. BF-CBC और AES-256-CBC दोनों सिफर ब्लॉक चेनिंग (CBC) मोड में संचालित होते हैं. यदि आपका प्रदाता कुछ और (CFB, OFB, आदि) का उपयोग करता है, तो वे या तो अक्षम हैं या कुछ बहुत अच्छे कारण हैं. उन्हें पूछना.
न्यू-किड-ऑन-द-ब्लॉक वीपीएन प्रोटोकॉल वायरगार्ड ने हाल ही में वीपीएन प्रदाताओं के बीच तेजी से गोद लिया है. प्रोटोकॉल वाणिज्यिक वीपीएन सेवाओं और उनके गोपनीयता विचारों को ध्यान में रखते हुए नहीं बनाया गया था. सक्षम प्रदाताओं को यह प्रदर्शित करने की आवश्यकता है कि उनके पास निम्नलिखित समस्याओं का समाधान है: 1. साथियों के सार्वजनिक आईपी पते को मेमोरी में संग्रहीत किया जाता है (ई).जी. प्रमुख प्रबंधन जोड़ना जो कॉन्फ़िगरेशन को हटाता/बहाल करता है) 2. सुरंग आईपी पता आवंटन/रोटेशन (ई).जी. बैकएंड कॉल का उपयोग करके नए आईपी एड्रेस को उत्पन्न करना जो सभी सर्वरों को वितरित किए जाते हैं) 3. कोई परफेक्ट फॉरवर्ड सेक्रेसी (ई).जी. नियमित समय अंतराल में स्वचालित कुंजी जोड़ी पुनर्जनन का उपयोग करें).
क्या आप परफेक्ट फॉरवर्ड गोपनीयता का समर्थन करते हैं? यदि हां, तो कैसे? SSL/TLS मोड में OpenVPN का उपयोग करने वाला कोई भी प्रदाता सही आगे की गोपनीयता प्रदान करता है. अतिरिक्त हाथ से परे लहराते हुए आपको संदिग्ध बना देना चाहिए. जैसा कि पहले उल्लेख किया गया है, Wireguard कार्यान्वयन के लिए आगे गोपनीयता का समर्थन करने के लिए विशिष्ट उपायों की आवश्यकता होती है.
क्या आप Diffie Hellman कुंजी फ़ाइलों के साथ उपयोगकर्ता प्रदान करते हैं? टी उसका एक ट्रिक सवाल है. यह सच है कि OpenVPN सही फॉरवर्ड सेक्रेसी प्रदान करने में स्टेटिक डिफी हेलमैन कुंजी फ़ाइलों का उपयोग करता है. लेकिन वह स्थैतिक डिफी हेलमैन कुंजी फ़ाइल () DH1024.PEM ‘या’ DH2048.PEM ‘) केवल सर्वर पर आवश्यक है. कोई भी प्रदाता जो उन्हें उपयोगकर्ताओं को आपूर्ति करता है वह अक्षम है.
आप ग्राहकों को कैसे प्रमाणित करते हैं – प्रमाणपत्र/कुंजियाँ, या उपयोगकर्ता नाम/पासवर्ड? SSL/TLS मोड में, OpenVPN क्लाइंट सर्वर को प्रमाणित करके सर्वर को प्रमाणित करता है कि क्या सर्वर के पास सर्टिफिकेट प्राधिकारी प्रमाणपत्र द्वारा हस्ताक्षरित प्रमाण पत्र है ((a).CRT ‘) कि प्रदाता ने उन्हें दिया है. OpenVPN ग्राहकों को प्रमाणित करने के लिए सर्वर के लिए दो तरीकों का समर्थन करता है. एक प्रमाण पत्र और कुंजियों पर निर्भर करता है (जैसे ‘क्लाइंट).CRT ‘और ‘ग्राहक.चाबी’). अन्य उपयोगकर्ता नाम और पासवर्ड पर निर्भर करता है (ऑथ-यूज़र-पास के माध्यम से). सर्वर दोनों का उपयोग कर सकते हैं, लेकिन ओवरकिल पर वह सीमाएं. पॉइंट-टू-पॉइंट कनेक्शन के लिए, जहां पूर्ण नेटवर्क एक्सेस दांव पर हो सकता है, सर्टिफिकेट और कुंजियों का उपयोग करके ग्राहकों को प्रमाणित करने के लिए सर्वर के लिए यह बहुत महत्वपूर्ण है. वीपीएन सेवाओं के लिए, यह एक मुद्दा नहीं है, क्योंकि ग्राहकों को सिर्फ इंटरनेट देखने को मिलता है. इसके अलावा, वीपीएन सेवाओं के लिए, प्रत्येक ग्राहक को एक अद्वितीय प्रमाण पत्र देना एक गोपनीयता जोखिम है.
क्या आप HMAC- आधारित TLS प्रमाणीकरण को नियोजित करते हैं? यदि हां, तो क्यों? TLS प्रमाणीकरण सक्षम (TLS-Auth के माध्यम से) सक्षम होने के साथ, सर्वर ग्राहकों से SSL/TLS हैंडशेक पैकेट को अनदेखा करते हैं जिनमें सही HMAC हस्ताक्षर की कमी है. यह सुविधा वीपीएन सर्वर को डॉस हमलों, पोर्ट स्कैनिंग और अन्य कारनामों से बचाती है. यदि लागू किया जाता है, तो प्रदाता एक कुंजी की आपूर्ति कर सकते हैं (आमतौर पर ta ta.कुंजी ‘) या एक को मक्खी पर बातचीत की जा सकती है. यह आंशिक रूप से एक ट्रिक प्रश्न है. कोई भी प्रदाता यह दावा करता है कि यह सही फॉरवर्ड गोपनीयता के लिए आवश्यक है या तो बेईमान या अक्षम है.
क्या आप कभी ग्राहकों को उपयोगकर्ता नाम और पासवर्ड ईमेल करते हैं? यह एक खतरनाक अभ्यास है, लेकिन मुख्य रूप से प्रदाता के लिए. पारगमन में उपयोगकर्ता नाम और पासवर्ड से समझौता करने वाले विरोधी मुफ्त पहुंच प्राप्त कर सकते हैं, या यहां तक कि पासवर्ड बदलकर भुगतान करने वाले उपयोगकर्ताओं को लॉक कर सकते हैं. यह भी जोखिम है कि विरोधी आपराधिक गतिविधि में उपयोगकर्ताओं को फंसा सकते हैं.फिर भी, यदि आप रसीद के तुरंत बाद अपना पासवर्ड सफलतापूर्वक बदलते हैं, तो आप सुरक्षित हैं. यदि आप पासवर्ड बदलने के लिए लॉगिन नहीं कर सकते हैं, तो शिकायत करें और नए खाते की मांग करें. उन प्रदाताओं के लिए जो अन्यथा आकर्षक हैं, मैं इसे एक घातक त्रुटि नहीं मानता हूं.
क्या प्रत्येक ग्राहक के पास एक अद्वितीय ग्राहक प्रमाण पत्र और कुंजी है? यह एक और ट्रिक प्रश्न है. गोपनीयता के अनुकूल उत्तर सभी ग्राहकों के लिए एक ही क्लाइंट सर्टिफिकेट का उपयोग कर रहे हैं, या एक प्रदान नहीं कर रहे हैं, और प्रमाणीकरण के लिए उपयोगकर्ता नाम और पासवर्ड पर भरोसा कर रहे हैं.यह प्रत्येक उपयोगकर्ता के लिए अपना प्रमाण पत्र और कुंजी रखने के लिए एक अच्छा विचार हो सकता है. और यह एक उद्यम संदर्भ में सच है. लेकिन वीपीएन सेवाओं के लिए यह बहुत खतरनाक है, क्योंकि यह संभावित रूप से उपयोगकर्ता खातों को लॉग ट्रैफ़िक से जोड़ता है. कुछ प्रदाता बताते हैं कि वे दुष्ट ग्राहकों को सुविधाजनक बनाने के लिए अद्वितीय ग्राहक प्रमाण पत्र जारी करते हैं. हालांकि, यह केवल उपयोगकर्ता नाम के साथ करना आसान है, और उपयोगकर्ता नाम निश्चित रूप से प्रमाण पत्र की तुलना में अधिक आसानी से निरस्त कर रहे हैं यदि यह आपके लिए एक महत्वपूर्ण मुद्दा है, तो दो अल्पकालिक सदस्यता खरीदकर परीक्षण करना आसान है, टोर के माध्यम से बिटकॉइन के साथ भुगतान करना, और उपयोग करना एनोनबॉक्स आदि से अस्थायी ईमेल पते.
क्या आपके वीपीएन गेटवे सर्वर होस्ट किए गए, सह-स्थित या इन-हाउस हैं? यह आंशिक रूप से एक ट्रिक प्रश्न है. मुझे यह दावा करने वाले किसी भी वीपीएन प्रदाता पर बहुत संदेह होगा कि इसके सर्वर इन-हाउस में प्रबंधित हैं. आप पूछ सकते हैं कि वे कई देशों में उच्च गति वाले अपलिंक के साथ सुविधाओं को बनाए रखने की लागत को कैसे कवर करते हैं. सबसे अच्छा प्रशंसनीय उत्तर यह है कि वे अपने स्वयं के सर्वर का निर्माण करते हैं, और उन्हें सह-स्थान सुविधाओं के लिए जहाज करते हैं. सर्वर हार्डनिंग के लिए अतिरिक्त अंक दें. विशिष्ट शारीरिक सख्त उपायों में सिलिकॉन रबर या थर्मल चिपकने वाले में रैम एम्बेड करना और यूएसबी पोर्ट को अक्षम करना शामिल है.सबसे अधिक संभावना स्वीकार्य उत्तर यह है कि वे होस्ट किए गए समर्पित सर्वर का उपयोग करते हैं. सर्वर हार्डनिंग के लिए अतिरिक्त अंक दें, जैसे कि पूर्ण-डिस्क एन्क्रिप्शन का उपयोग करना, और रैम (TEMPFS) में अल्पकालिक लॉग रखना.
क्या आपके वीपीएन गेटवे सर्वर में से कोई भी वीपी या क्लाउड सर्वर पर चल रहा है? प्रदाताओं को कभी भी वर्चुअल प्राइवेट सर्वर (VPS) या क्लाउड सर्वर पर VPN गेटवे सर्वर को तैनात नहीं करना चाहिए. वर्चुअल मशीन होने के नाते, वे होस्ट ऑपरेटिंग सिस्टम द्वारा पूरी तरह से नियंत्रित होते हैं, और सभी गतिविधि और डेटा मेजबान के माध्यम से आसानी से उपलब्ध हैं. प्रदाताओं को हमेशा समर्पित सर्वर का उपयोग करना चाहिए जो अनधिकृत पहुंच के खिलाफ ठीक से सुरक्षित किए गए हैं.
आपके वीपीएन गेटवे सर्वर कैसे संरक्षित हैं? वीपीएन सेवाओं को आमतौर पर तीन भूमिकाएं निभाने वाले सर्वर की आवश्यकता होती है. गेटवे सर्वर हैं जो ग्राहकों के साथ वीपीएन कनेक्शन स्थापित करते हैं, और क्लाइंट ट्रैफ़िक को इंटरनेट पर भी रूट करते हैं. एक-हॉप कनेक्शन के लिए, एक सर्वर उस सभी को संभाल सकता है. ऐसे सर्वर हैं जो सेवा की वेबसाइट की मेजबानी करते हैं. और ऐसे सर्वर हैं जो उपयोगकर्ता खाता जानकारी का प्रबंधन करते हैं, और गेटवे सर्वर और वेब सर्वर को प्रमाणीकरण सेवाएं प्रदान करते हैं. सभी क्लाइंट ट्रैफ़िक को गेटवे सर्वर के माध्यम से रूट किया जाता है. जब तक उन सर्वर को पर्याप्त रूप से सुरक्षित नहीं किया जाता है, तब तक विरोधी उनसे समझौता कर सकते हैं, और इसलिए अपने ट्रैफ़िक को लॉग करके उपयोगकर्ताओं की गोपनीयता से समझौता करें. वीपीएन गेटवे सर्वर को उद्योग के मानकों जैसे सीआईएस बेंचमार्क या एनएसए बेसलाइन गाइड के अनुसार कठोर किया जाना चाहिए.सबसे महत्वपूर्ण बात, वीपीएन गेटवे सर्वर को अन्य नेटवर्क सेवाओं को नहीं चलाना चाहिए, जैसे कि वेबसाइट होस्टिंग, या उपयोगकर्ता लेखांकन और प्रमाणीकरण. ऐसा करने से वीपीएन गेटवे सर्वर की हमला सेवा बढ़ जाती है. आप यह सत्यापित कर सकते हैं कि एनएमएपी जैसे पोर्ट स्कैनर का उपयोग करके वीपीएन गेटवे पर कौन से बंदरगाह और सेवाएं सुलभ हैं. हालांकि, ध्यान रखें कि कई प्रदाता फ़ायरवॉल ब्लॉकिंग से बाहर निकलने के लिए 80 (HTTP) और 443 (HTTPS) जैसे गैर-मानक बंदरगाहों पर वीपीएन सर्वर को उजागर करते हैं.
उपयोगकर्ता खाता जानकारी कहाँ संग्रहीत है? प्रदाताओं को आदर्श रूप से इस जानकारी को कॉलोनेटेड या इन-हाउस सर्वर पर संग्रहीत करना चाहिए जो कि उचित रूप से एन्क्रिप्टेड, कठोर और विरोधी के खिलाफ संरक्षित हैं. इसके अलावा, उन्हें प्रमाणीकरण डेटा को अलग करना चाहिए, जो कि गेटवे सर्वर के लिए उपलब्ध होना चाहिए, लेखांकन डेटा से, जिसमें उपयोगकर्ताओं की निजी जानकारी शामिल हो सकती है, जैसे कि उपयोग लॉग, ईमेल पते और भुगतान रिकॉर्ड.
सर्वर के बीच संचार कैसे सुरक्षित है? अच्छी तरह से डिज़ाइन की गई वीपीएन सेवाओं में विशिष्ट भूमिकाओं के साथ विशेष सर्वर के नेटवर्क शामिल हैं जो एक दूसरे के साथ सुरक्षित रूप से संवाद करते हैं. उदाहरण के लिए, गेटवे सर्वर को यह सत्यापित करने के लिए प्रमाणीकरण सर्वर से संपर्क करना चाहिए कि उपयोगकर्ता कनेक्ट करने के लिए अधिकृत हैं. बैकएंड प्रोविजनिंग सिस्टम भी हैं जो उपयोगकर्ता खातों को बनाने और अपडेट करने के लिए वेबसाइटों से बिक्री डेटा पर भरोसा करते हैं, और फिर प्रमाणीकरण सर्वर को अपडेट करते हैं. इस डेटा की संवेदनशीलता को देखते हुए, और विरोधियों के लिए इसका मूल्य, इन सर्वरों के बीच सभी संचार को सुरक्षित रूप से एन्क्रिप्ट किया जाना चाहिए. आमतौर पर, यह सर्वर के बीच लगातार OpenVPN या IPSEC सुरंगों पर निर्भर करता है.
क्या आप उपयोगकर्ताओं द्वारा पोर्ट अग्रेषण की अनुमति देते हैं? जब आप एक वीपीएन सेवा से जुड़े होते हैं, तो वीपीएन गेटवे सर्वर आपके डिवाइस को संभावित रूप से शत्रुतापूर्ण आने वाले कनेक्शन से उसी तरह से बचाता है जिस तरह से आपका लैन राउटर या फ़ायरवॉल करता है. हालांकि, विशेष बंदरगाहों पर आने वाले कनेक्शनों को ऑपरेटिंग सर्वर के लिए, या पी 2 पी नेटवर्क में भाग लेने के लिए आवश्यक है, जहां आपका नोड अन्य नोड्स को दिखाई देना चाहिए. उस प्रक्रिया को पोर्ट अग्रेषण कहा जाता है. जब पोर्ट फ़ॉरवर्डिंग सक्षम होती है, तो आपका डिवाइस सीधे उन पोर्टों पर इंटरनेट के संपर्क में आता है, जिन्हें अग्रेषित किया गया है, वीपीएन सेवा द्वारा कोई सुरक्षा नहीं है. एक विरोधी एक सेवा में एक भेद्यता का सफलतापूर्वक शोषण कर सकता है जो एक अग्रेषित पोर्ट पर सुन रहा है, और अपने डिवाइस से समझौता कर सकता है. बॉटनेट सदस्यता और डेटा चोरी जैसे विशिष्ट परिणामों के अलावा, एक विरोधी जब आप वीपीएन सेवा का उपयोग नहीं कर रहे हों, तो ‘फोनिंग होम’ द्वारा आपकी गोपनीयता और गुमनामी से समझौता कर सकते हैं.
क्या सभी क्लाइंट पोर्ट कभी भी डिफ़ॉल्ट रूप से अग्रेषित किए जाते हैं? यदि हां, तो किस सर्वर पर? कुछ वीपीएन सेवाएं डिफ़ॉल्ट रूप से सभी क्लाइंट पोर्ट को आगे बढ़ाती हैं. कुछ केवल निर्दिष्ट सर्वर पर ऐसा करते हैं. कुछ सेवाओं के लिए, ऐसा प्रतीत होता है कि पोर्ट फ़ॉरवर्डिंग किसी भी पैटर्न या प्रलेखन के साथ सर्वर के बीच भिन्न होती है. हालाँकि पोर्ट स्कैनिंग का उपयोग करके इसके लिए जांच करना संभव है, यह इस तथ्य से जटिल है कि एक ही निकास आईपी पते का उपयोग करने वाले कई अलग -अलग ग्राहक एक ही पोर्ट को अग्रेषित कर सकते हैं.

अगला लेख

क्या एक वीपीएन मेरी रक्षा करेगा? अपने खतरे के मॉडल को परिभाषित करना
गोपनीयता और गुमनामी का परिचय

यहाँ सीखने के लिए?

अपनी गोपनीयता और गुमनामी बढ़ाने के लिए हमारे गाइड से परामर्श करें.

वीपीएन प्रदाता

वीपीएन सेवाएं लोगों को इंटरनेट पर सुरक्षित और सुरक्षित रहने में मदद करती हैं. वे आपके आईपी-पता को भी जनता से छिपाते हैं. सभी वीपीएन पूरी तरह से निजी नहीं हैं, हालांकि, इसलिए हम नियमित रूप से समीक्षा करते हैं कि गुमनाम वीपीएन कैसे हैं.

आगे पढ़ने (प्रायोगिक श्रृंखला):