Jak dostawcy usług internetowych śledzą Twoją aktywność online

Co widzi Twój dostawca usług internetowych

Ruch nieszyfrowany (HTTP)

Gdy odwiedzasz witryny internetowe korzystające z protokołu HTTP (nie HTTPS), Twój dostawca usług internetowych może zobaczyć wszystko:

• Pełne adresy URL: Pełne adresy internetowe, w tym parametry zapytań
• Page treść: Cały tekst, obrazy i dane na stronie
• Przesłanie formularza: Dane logowania, zapytania wyszukiwania, dane osobowe
• Pliki cookie: Tokeny sesji i dane śledzenia
• Headers: Typ przeglądarki, system operacyjny, informacje o stronie odsyłającej

Na szczęście ponad 95% ruchu internetowego wykorzystuje obecnie szyfrowanie HTTPS, co znacznie ogranicza widoczność.

Ruch szyfrowany (HTTPS)

Nawet przy szyfrowaniu HTTPS Twój dostawca usług internetowych nadal widzi istotne informacje:

• Nazwy domen (przez DNS): Które strony internetowe odwiedzasz
• Adresy IP: Określone serwery, z którymi się łączysz
• Metadane połączenia: Czas, czas trwania, ilość danych
• TWzorce ruchu: Kiedy jesteś online, poziomy aktywności
• SNI (wskazanie nazwy serwera): Nazwa hosta w uzgadnianiu TLS (chyba że używasz ESNI/ECH)

Czego nie mogą zobaczyć za pomocą HTTPS:

• Określone adresy URL stron (tylko domena)
• Zawartość strony lub dane formularzy
• Zapytania wyszukiwania lub wiadomości
• Pliki cookie lub dane sesji

DNS Zapytania: Blindspot prywatności

DNS (Domain Name System) jest historycznie niezaszyfrowany i to właśnie tutaj dostawcy usług internetowych uzyskują najwięcej mocy śledzenia:

• Każda witryna internetowa odwiedzone: Pełna historia przeglądania
• TInformacje o czasie: Kiedy uzyskałeś dostęp do każdej witryny
• Dane o częstotliwości: Jak często odwiedzasz określone witryny
• Poddomeny: Określone usługi w witrynach (mail.google.com, drive.google.com)

Domyślnie Twoje urządzenia korzystają z serwerów DNS Twojego dostawcy usług internetowych, wysyłając im dziennik każdej wyszukanej domeny. Tworzy to kompleksową mapę Twojej aktywności w Internecie.

Metadane połączenia

Oprócz treści dostawcy usług internetowych gromadzą obszerne metadane:

Typ metadanych	Co widzi ISP	Prywatność Wpływ
Temporal	Czasy połączenia, czas trwania, częstotliwość	Pokazuje codzienne czynności i harmonogram snu
Volumetric	Dane przesyłane/pobierane na każde połączenie	Identyfikuje przesyłanie strumieniowe i przesyłanie dużych plików
Geograficzne	Twój adres IP, lokalizacja	Śledzenie lokalizacji fizycznej
Urządzenie	Adres MAC, sygnatury urządzeń	Odcisk palca urządzenia, identyfikacja
Sieć	Wykorzystywane protokoły, numery portów	Identyfikuje P2P, wykorzystanie VPN, usługi

TTechnologie śledzenia używane przez dostawców usług internetowych

Deep Packet Inspekcja (DPI)

Technologia DPI bada część danych pakietów sieciowych w czasie rzeczywistym:

Możliwości:

• Analiza zawartości pakietów poza informacjami nagłówka
• Identyfikacja protokołów i aplikacji
• Wykrywanie typów przesyłanych plików
• Klasyfikacja ruchu na potrzeby zarządzania siecią
• Filtrowanie treści na podstawie reguł

Official wykorzystuje:

• Optymalizacja sieci i QoS (jakość usług)
• Wykrywanie złośliwego oprogramowania i zagrożeń
• Egzekwowanie praw autorskich (powiadomienia DMCA)
• Zarządzanie przepustowością i ograniczanie przepustowości

Ochrona prywatności:

• Tworzy szczegółowe profile użytkowników
• Umożliwia cenzurę opartą na treści
• Potencjał masowej inwigilacji
• Można wykorzystać w celu uzyskania przewagi konkurencyjnej (dławienie konkurencji)

HTTP Wstrzykiwanie nagłówka

Niektórzy dostawcy usług internetowych modyfikują ruch HTTP poprzez wstrzyknięcie nagłówków śledzących:

• Unikalne nagłówki identyfikatorów (UIDH): „Supercookie”, których nie można usunąć
• X-UIDH lub X-ACRAID: Stałe śledzenie użytkowników w witrynach internetowych
• Skandal UIDH firmy Verizon: Śledzone użytkowników przez lata bez zgody

Te wstrzyknięte nagłówki umożliwiają dostawcom usług internetowych i ich partnerom śledzenie użytkowników nawet wtedy, gdy pliki cookie są blokowane lub usuwane.

DNS Monitorowanie i rejestrowanie

Dostawcy usług internetowych zazwyczaj uruchamiają programy rozpoznawania nazw DNS, które rejestrują wszystkie zapytania:

• Sygnatura czasowa każdego zapytania
• Źródłowy adres IP (ty)
• Żądana domena
• Typ zapytania (A, AAAA, MX itp.)
• Wynik rozdzielczości

Tworzy to przeszukiwalną bazę danych każdej domeny, do której miał dostęp każdy klient.

Zbieranie danych przepływu (NetFlow/IPFIX)

Protokoły przepływu sieci zagregowane metadane połączeń:

• Źródłowe i docelowe adresy IP
• Porty źródłowe i docelowe
• Typ protokołu (TCP, UDP, itp.)
• Liczba pakietów i bajtów
• Czas trwania i czas przepływu

Chociaż są mniej szczegółowe niż DPI, dane dotyczące przepływu nadal dostarczają istotnych informacji o zachowaniu użytkownika i mogą identyfikować wzorce.

Dlaczego dostawcy usług internetowych Cię śledzą

1. Generowanie przychodów

Reklamy i sprzedaż danych:

• Sprzedawaj anonimowe (lub pozbawione danych identyfikacyjnych) dane przeglądania reklamodawcom
• Twórz szczegółowe segmenty użytkowników na potrzeby reklam ukierunkowanych
• Współpracuj z sieciami reklamowymi w celu uzyskania przychodów udostępnianie
• Oferuj „bezpłatne” usługi dotowane przez gromadzenie danych

Po uchyleniu amerykańskich przepisów dotyczących prywatności w 2017 r. dostawcy usług internetowych uzyskali wyraźną zgodę na zarabianie na danych klientów bez zgody.

2. Zarządzanie siecią

LUzasadnione potrzeby operacyjne:

• Przydział przepustowości i jakość usług (QoS)
• Identyfikowanie nadużyć w sieci i zapobieganie im
• Planowanie przepustowości i inwestycje w infrastrukturę
• Trozwiązywanie problemów z połączeniem

3. Zgodność z prawem

Nakazy rządowe:

• Przepisy dotyczące zatrzymywania danych (różni się w zależności od jurysdykcji)
• LWnioski i wezwania do egzekwowania prawa
• Egzekwowanie praw autorskich (DMCA itp.)
• Listy bezpieczeństwa narodowego (NSL) w US

4. Bezpieczeństwo i zapobieganie nadużyciom

Środki ochronne:

• Wykrywanie złośliwego oprogramowania i botnetów
• DDoS łagodzenie
• Filtrowanie spamu
• Blokowanie witryn wyłudzających informacje

Globalne przepisy dotyczące przechowywania danych

Stany Zjednoczone

Żadne prawo federalne nie nakłada obowiązku przechowywania danych przez dostawcę usług internetowych w celach komercyjnych, ale:

• 18 USC § 2703(f): Wymaga zachowania danych na żądanie organów ścigania
• Patriot Act: Rozszerzone możliwości nadzoru
• FISA Poprawki: Umożliwia nadzór bez nakazu
• Przepisy stanowe: Różnią się, w niektórych stanach obowiązują silniejsze zabezpieczenia prywatności

Dostawcy usług internetowych zazwyczaj przechowują dane przez 6–18 miesięcy w celach biznesowych, nawet bez wymagań prawnych.

Unia Europejska

Złożony krajobraz z silną ochroną prywatności:

• GDPR: Surowe wymagania dotyczące ochrony danych, zgoda użytkownika
• ePrywatność Dyrektywa: Szczegółowe zasady dla dostawców usług telekomunikacyjnych
• Dyrektywa w sprawie zatrzymywania danych: Unieważniona przez sąd UE, ale niektóre państwa członkowskie nadal wdrażają zmiany
• Przepisy państw członkowskich: Okresy przechowywania zazwyczaj wynoszą 6–24 miesiące

Inne jurysdykcje

• Australia: Obowiązkowe przechowywanie metadanych przez 2 lata (ustawa telekomunikacyjna z 2015 r.)
• Kanada: Brak obowiązkowego przechowywania metadanych, ale organy ścigania mogą zażądać przechowywanie
• UK: Ustawa o uprawnieniach dochodzeniowych (2016) wymaga przechowywania przez 12 miesięcy
• Rosja: Rozbudowane wymagania dotyczące przechowywania danych i nadzoru w czasie rzeczywistym
• Chiny: Kompleksowe wymagania dotyczące przechowywania danych i dostępu dla organów rządowych

Przypadki śledzenia dostawców usług internetowych w świecie rzeczywistym

Verizon UIDH Skandal „Supercookie” (2014–2016)

Firma Verizon przez dwa lata wprowadzała do ruchu klientów unikalne nagłówki śledzące, zanim została złapana:

• Dotyczy to ponad 100 milionów klientów
• TNagłówek śledzenia utrzymywał się nawet po wyczyszczeniu plików cookie przez użytkowników
• TFirmy zewnętrzne używały nagłówków do śledzenia między witrynami
• FCC ukarała firmę Verizon grzywną w wysokości 1,35 mln USD (minimalna w porównaniu z przychodami)
• Wymagany mechanizm rezygnacji (nie opt-in)

AT&T Program preferencji internetowych

AT&T oferował zniżkę na Internet w zamian za śledzenie:

• 29 USD zniżki miesięcznie za zgodę na śledzenie
• Zbierana historia przeglądania dla reklam
• Made opcja bez śledzenia znacznie droższa
• Podnoszone pytania dotyczące „dobrowolnej” zgody pod presją ekonomiczną

UK Skandal ISP Phorm (2006–2008)

• BT, Virgin Media, Talk Talk potajemnie testował reklamę behawioralną
• Przechwycony klient komunikacja bez zgody
• Zbudowane szczegółowe profile dla ukierunkowanych reklam
• LDostępne do dochodzeń karnych i postępowań w sprawie naruszeń prawa UE

Jak chronić swoją prywatność przed śledzeniem przez ISP

1. Użyj VPN (wirtualnej sieci prywatnej)

Najskuteczniejsza ochrona — szyfruje cały ruch z Twojego urządzenia do serwera VPN:

Co VPN ukrywa przed Twoim dostawcą usług internetowych:

• DNS zapytania (jeśli VPN używa własnego DNS)
• Strony internetowe i usług, do których masz dostęp
• Treść Twojej komunikacji
• Twoje wzorce aktywności i czas

Czego VPN nie ukrywają:

• To, że korzystasz z VPN (oczywiste na podstawie wzorców ruchu)
• Ilość przesłanych danych
• Czas i czas trwania połączenia

Wybierz renomowaną sieć VPN ze ścisłą polityką braku logów. VPN Master Pro zapewnia zweryfikowaną ochronę bez logów i zapobieganie wyciekom DNS.

2. Szyfrowany DNS (DoH/DoT)

Uniemożliwia ISP wyświetlanie zapytań DNS:

DNS przez HTTPS (DoH):

• Szyfruje DNS w HTTPS
• Wbudowany w Firefox, Chrome, Edge, Safari
• Dostawcy: Cloudflare (1.1.1.1), Google (8.8.8.8), Quad9 (9.9.9.9)

DNS przez TLS (DoT):

• Dedykowane szyfrowanie TLS dla DNS
• Obsługiwane natywnie w systemie Android 9+
• Bardziej przejrzyste do monitorowania sieci

Przykład konfiguracji (Firefox DoH):

Ustawienia → Prywatność i bezpieczeństwo → DNS przez HTTPS → Włącz za pomocą Cloudflare

3. HTTPS Everywhere

• Używaj rozszerzeń przeglądarki wymuszających HTTPS
• Nowoczesne przeglądarki ostrzegają teraz o witrynach innych niż HTTPS
• Uniemożliwiają dostawcy usług internetowych przeglądanie zawartości stron i adresów URL
• Widoczne pozostają tylko nazwy domen (przez DNS i SNI)

4. Przeglądarka Tor

Maksymalna anonimowość, ale z kompromisami:

Zalety:

• Wielowarstwowe szyfrowanie przez sieć ochotniczą
• Ukrywa miejsce docelowe przed ISP
• Anonimizuje Twoją tożsamość

Wady:

• Znacznie niższe prędkości
• Niektóre witryny blokują węzły wyjściowe Tora
• Wymaga ostrożnego użytkowania w celu zachowania anonimowości

5. Dostawcy usług internetowych zorientowani na prywatność

Niektórzy dostawcy usług internetowych traktują priorytetowo prywatność klientów:

• Sonic.net: Amerykański dostawca usług internetowych o zdecydowanym podejściu do prywatności
• Njalla: Koncentrujący się na prywatności VPN i hosting
• LDostawcy lokalni: Niektórzy regionalni dostawcy usług internetowych mają lepszą politykę prywatności niż główni operatorzy

Przeczytaj uważnie politykę prywatności i wybierz dostawców usług internetowych, którzy zobowiązują się do gromadzenia minimalnych danych.

6. Ochrona na poziomie routera

• Skonfiguruj VPN na poziomie routera (chroni wszystkie urządzenia)
• Użyj szanującego prywatność systemu DNS na routerze (Cloudflare, Quad9)
• Wprowadź reguły zapory sieciowej blokujące telemetrię
• Użyj oprogramowania sprzętowego routera typu open source (DD-WRT, OpenWRT)

Często zadawane pytania

Wnioski

Śledzenie ISP to jedna z najbardziej rozpowszechnionych form nadzoru we współczesnym cyfrowym życiu. W przeciwieństwie do plików cookie, które można blokować lub historii wyszukiwania, które można wyczyścić, śledzenie na poziomie dostawcy usług internetowych odbywa się na poziomie infrastruktury sieciowej, poza kontrolą poszczególnych użytkowników bez proaktywnych środków ochrony prywatności.

Zakres śledzenia usługodawcy internetowego różni się znacznie w zależności od:

• Jurysdykcja: Lokalne przepisy i regulacje
• XPLZ14Zasady XISP: Zobowiązanie firmy do ochrony prywatności
• Szyfrowanie przyjęcie: Ile ruchu wynosi HTTPS w porównaniu z HTTP
• Środki ochrony użytkownika: VPN, szyfrowany DNS itp.

Chociaż nie można całkowicie wyeliminować widoczności dostawcy usług internetowych (zawsze będą widzieć, że dane przepływają przez ich sieć), możesz radykalnie ograniczyć to, czego mogą dowiedzieć się o Twoich działaniach dzięki szyfrowaniu, VPN i narzędziom zapewniającym prywatność.

Najważniejsze kroki:

1. Użyj renomowanej sieci VPN do wszystkich wrażliwych działań
2. Włącz szyfrowany DNS (DoH/DoT) na wszystkich urządzeniach
3. Weryfikuj HTTPS na wszystkich odwiedzanych stronach internetowych
4. Przeczytaj politykę prywatności swojego dostawcy usług internetowych, aby dowiedzieć się, co zbiera
5. Bądź na bieżąco o lokalnych przepisach dotyczących prywatności i praktykach dostawców usług internetowych

Prywatność nie polega na tym, że masz coś do ukrycia — chodzi o kontrolowanie, kto ma dostęp do informacji o Twoim życiu, myślach i działaniach. Twój dostawca usług internetowych nie musi wiedzieć, co robisz online.