VPN en end-tot-end-versleuteling: wie kan wat lees
'n VPN beskerm die roete; die boodskapptoepassing beskerm die inhoud. Vergelyk die uitgang, die tussenstasie en die ontvanger voordat jy aanneem dat een van hulle die boodskap versteek.
Volg een boodskap van ’n selfoon na ’n vriend en dit beweeg deur minstens twee verskillende soorte beskerming. Die VPN dek die roete tussen die kliënt en sy poort; die boodskapptoepassing dek die inhoud tussen die deelnemers se toestelle. Nie een vervang die ander nie, en die nuttige vraag is nie watter een sterker is nie, maar wie by elke stap wat kan lees. Stap die pad een keer deur en die rolle word duidelik.
Twee beskermings, twee eindpunte
By die stuurtoestel versleutel die toepassing die boodskap met sleutels wat aan die gesprek behoort, en gee dan die syferteks aan die bedryfstelsel. Die VPN, indien een aktief is, verpak enige verkeer wat by sy beleid pas en dra dit na ’n poort. Van daar af reis die pakket oor die gewone internet na die toepassing se bedieners, wat dit na die ontvanger herlei. Net die ontvanger se toestel hou die sleutel wat die syferteks weer in teks verander.
'n Tussenstasie op daardie pad kan sien hoe ’n boodskap aankom en vertrek sonder om dit te lees, en dit is presies die eienskap wat end-tot-end-versleuteling moet bied.
Wat die VPN-uitgang kan en nie kan lees nie
'n VPN-poort ontsleutel die tonnel, nie die toepassing se inhoud nie. Dit kan sien watter bediener die kliënt gekontak het, wanneer, en hoeveel data beweeg het, en dan die pakkette verder stuur. Dit is ’n betekenisvolle stel feite en ’n baie kleiner stel as die boodskapteks. Vir ’n gewone HTTPS-webwerf eindig die TLS-verbinding by die webwerf, so die webwerf kan lees wat ingedien is, selfs al kan die VPN dit nie. Die onderskeid gaan oor waar elke laag eindig, nie oor watter produk meer privaat is nie.
Verander die bestemming na ’n end-tot-end-versleutelde diens en die tussenstasie in die middel verloor die inhoud, terwyl die VPN steeds die verbindingspatroon sien.
Sleutels behoort aan die gesprek, nie aan die roete nie
Inhoudsleutels word tussen deelnemers onderhandel en bly op hul toestelle; ’n VPN neem geen deel aan daardie uitruiling nie. Toepassings wys dikwels ’n veiligheidsnommer of sleutelvingerafdruk sodat beide kante kan vergelyk wat hulle het. Daardie vergelyking ontdek ’n vervangde sleutel in die middel, wat waardevol is en smaller as om te bewys wie tik. Om iemand se identiteit te bevestig, is steeds ’n kanaal buite die toepassing nodig, soos ’n oproep of ’n persoonlike kontrole. ’n VPN se bediener-sertifikaatkontrole verifieer ’n heeltemal ander eindpunt.
Moenie ’n geverifieerde veiligheidsnommer as bewys van rekeningeienaarskap lees nie. Dit is bewyse oor sleutels, nie oor mense nie.
Kopieë, metadata en die ander toestel
Leesbare inhoud bestaan by die eindpunte, so die eindpunte besluit wat volgende gebeur. Bou ’n kort kaart van die plekke waar ’n kopie kan beland voordat jy besluit hoeveel die tonnel help.
| Point | Can it read the message | Why |
|---|---|---|
| Sending device | Yes | Content exists before encryption |
| VPN gateway | No | Terminates the tunnel, not the app keys |
| App relay | No, by design | Only ciphertext passes through |
| Recipient device | Yes | Holds the conversation keys |
| Cloud backup | Depends on the product | May store plaintext or an encrypted archive |
Lees die toepassing se reëls vir rugsteune, gekoppelde toestelle, kennisgewings en uitvoere, want elkeen is ’n aparte kopie met sy eie hantering. Die netwerk stel steeds tydsberekening en volume bloot, selfs wanneer inhoud beskerm is, en ’n VPN verander watter verskaffer die plaaslike verbinding sien, nie of sulke metadata bestaan nie. ’n Lêer wat uit ’n beskermde gesprek uitgevoer is, behou die beskerming wat sy formaat bied, en die tonnel doen daarna niks daarvoor nie.
Kies die beskerming vir die ding wat dit dek: die toepassing vir inhoud en sleutels, die VPN vir die roete en die plaaslike netwerkbeeld. Lys dan die kopieë en toestelle wat buite albei staan.