Миллионы американцев последовали официальным рекомендациям Министерства обороны, ФБР, Федеральной торговой комиссии и Агентства национальной безопасности (АНБ) по защите своей конфиденциальности в Интернете с помощью виртуальной частной сети (VPN). Эти рекомендации, часто сводящиеся к "Используйте VPN", побудили потребителей тратить миллиарды долларов ежегодно на эти услуги. Однако недавняя служебная записка от исследовательского персонала Конгресса, освещенная в письме сенатора Рона Уайдена директору АНБ от 2 сентября, показывает, что даже зашифрованный трафик VPN может непреднамеренно раскрыть историю просмотров пользователя.

Основная проблема заключается не в нарушении шифрования, а в анализе шаблонов трафика. Этот метод, известный как анализ трафика, может выявить источник, назначение, время и объем пакетов данных. Коррелируя эти элементы, можно реконструировать историю просмотров пользователя, включая конкретные посещенные веб-сайты и время доступа, и связать ее с его личностью. Сообщается, что эта техника была разработана лабораторией для американских офицеров разведки еще в 1995 году.

Как работают VPN и их ограничения

Когда VPN активирован, весь интернет-трафик сначала направляется через сервер компании, прежде чем достигнет конечного пункта назначения. Этот процесс маскирует фактический IP-адрес пользователя, заменяя его адресом VPN-сервера. Это особенно эффективно в общедоступных сетях Wi-Fi, предотвращая перехват конфиденциальных данных, таких как пароли, лицами, находящимися в той же сети.

Однако сама VPN-компания затем хранит записи интернет-активности пользователя. Хотя некоторые VPN-провайдеры, такие как шведская компания Mulvad, по сообщениям, не хранят никаких данных клиентов — как показал обыск шведской полиции в 2024 году, который не дал никакой информации о клиентах — фундаментальная уязвимость анализа трафика остается.

Этот процесс можно представить как два потока данных: один от устройства пользователя к VPN-серверу, и другой от VPN-сервера к целевому веб-сайту. Оба потока несут зашифрованный трафик, что означает, что содержимое нечитаемо для любого, кто его перехватит. Однако время и размер пакетов данных, передаваемых по обоим потокам, могут быть записаны. Пакет данных, покидающий устройство пользователя, и последующий пакет того же размера, покидающий VPN-сервер и направляющийся к веб-сайту, могут быть сопоставлены, тем самым связывая устройство пользователя с этим конкретным веб-сайтом. Этот процесс сопоставления, выполняемый в течение длительного периода времени, может реконструировать историю просмотров пользователя без необходимости расшифровки трафика.

В служебной записке предполагается, что VPN, использующая один сервер, обеспечивает минимальную защиту от организаций, способных вызывать VPN-компанию по повестке или взламывать ее системы. Даже при запечатанных сообщениях записи о том, какие сайты были доступны и когда, остаются видимыми для любого, кто отслеживает оба потока данных. Эта информация может быть критически важной для различных лиц, от репортеров, идентифицирующих источники, до подрядчиков оборонной промышленности, отслеживающих доступ к проектам, или даже для лиц, просматривающих свои собственные ночные поисковые запросы.

Угроза «Собирай сейчас, расшифровывай потом»

Серьезной проблемой, на которую указывает служебная записка, является стратегия противников «собирай сейчас, расшифровывай потом». Она заключается в записи зашифрованного трафика с расчетом на то, что будущие достижения в области вычислительной мощности в конечном итоге позволят его расшифровать. Следовательно, данные, захваченные сегодня, могут поставить под угрозу конфиденциальность на долгие годы.

Потенциал противников для записи трафика усиливается присутствием иностранных разведывательных служб в сетях телекоммуникаций. В сентябре 2025 года АНБ и союзные агентства выпустили предупреждение о том, что китайские государственные операторы проникают в магистральные маршрутизаторы крупных операторов — инфраструктуру, отвечающую за межсетевой трафик. Это указывает на то, что средства для перехвата трафика в больших масштабах уже существуют.

VPN и слежка без ордера

Добавляя еще один слой беспокойства, шесть членов Конгресса, включая сенатора Уайдена, написали в марте директору Национальной разведки по поводу последствий использования VPN для защиты от слежки без ордера со стороны правительства США. В рассекреченных правилах нацеливания АНБ предполагается, что лица, чье местоположение неизвестно, являются негражданами США, чей трафик может быть собран в больших объемах без ордера. Поскольку основной функцией VPN является сокрытие местоположения пользователя, члены Конгресса задались вопросом, может ли следование правительственным рекомендациям по использованию VPN непреднамеренно лишить американцев защиты от слежки без ордера со стороны их собственного правительства.

В ответе, полученном в июле, говорилось, что VPN полезны для "базовой гигиены", но предостерегали, что VPN-компании могут вести журналы активности просмотра. В недавнем письме сенатора Уайдена утверждается, что этот ответ касался практики ведения журналов компанией, но упустил из виду уязвимость самих потоков данных.

Луковая маршрутизация и Tor

Решение проблемы анализа трафика было разработано в 1995 году тремя исследователями из Военно-морской исследовательской лаборатории. Их целью было дать возможность американским офицерам разведки использовать интернет из враждебных сред, не раскрывая себя через свой трафик. В то время как шифрование обеспечивало безопасность контента, шаблоны трафика оставались явным признаком. Их решение, названное "луковой маршрутизацией", включало маршрутизацию трафика через несколько ретрансляторов, причем каждый ретранслятор знал только предыдущий и следующий узел. Такой многоуровневый подход гарантировал, что ни одна точка на пути одновременно не содержала как идентификатор пользователя, так и его пункт назначения.

Чтобы предотвратить исключительное использование сети шпионами, технология была сделана общедоступной, что привело к созданию Tor (The Onion Router). Намерение состояло в том, чтобы разведывательный трафик был неотличим в общем трафике общедоступного интернета. Несмотря на разработку этого решения 31 год назад собственной лабораторией ВМС, АНБ продолжает рекомендовать VPN, которые полагаются на один сервер.

Безмолвный сбой VPN

В отличие от других средств защиты, которые предоставляют наблюдаемые индикаторы работы или сбоя (например, визжащие тормоза, исправные замки или пожарные извещатели), VPN могут выходить из строя беззвучно. Уязвимости кроются в невидимых потоках данных. Структуры, которые лучше всего подходят для проверки эффективности этих VPN, являются теми же агентствами, которых теперь просят предоставить письменные заверения.

Подписка на VPN предлагает определенные преимущества: веб-сайты регистрируют арендованный IP-адрес вместо IP-адреса пользователя, а в общедоступных сетях Wi-Fi шифрование контента обеспечивает уровень безопасности. Интернет-провайдер пользователя также теряет запись посещенных сайтов.

Однако подписка не гарантирует полной конфиденциальности. Список посещенных сайтов передается VPN-компании, что делает его уязвимым для повесток в суд или утечек данных. Время и объем трафика остаются видимыми для любого, кто отслеживает потоки данных, что позволяет реконструировать историю просмотров. Кроме того, угроза "собирай сейчас, расшифровывай позже" означает, что текущие данные могут быть скомпрометированы в будущем.

Вопрос о том, квалифицирует ли использование VPN для маскировки местоположения человека как "иностранца" по правилам АНБ, что потенциально подвергает его слежке без ордера, остается без ответа.

Альтернативные решения

Для пользователей, обеспокоенных сокрытием схем трафика, существуют альтернативные решения. Tor предлагает бесплатную систему многоуровневой маршрутизации. Private Relay от Apple, входящий в состав iCloud, обеспечивает конфиденциальность при просмотре веб-страниц в Safari. Некоторые платные сервисы маршрутизируют трафик через два собственных сервера вместо одного.

Сенатор Уайден дал АНБ срок до 14 октября для публичного ответа на три вопроса относительно эффективности VPN. Результат этого расследования может привести к пересмотру рекомендаций четырех государственных учреждений или, если ответы останутся засекреченными, оставит общественность без окончательной информации о безопасности использования VPN.