VPN и криптиране от край до край: кой какво може да прочете
VPN защитава маршрута, а приложението за съобщения защитава съдържанието. Сравнете изхода, релето и получателя, преди да приемете, че някое от двете скрива съобщението.
Проследете едно съобщение от телефон до приятел и то ще премине през поне два различни вида защита. VPN покрива маршрута между клиента и неговия шлюз, приложението за съобщения покрива съдържанието между устройствата на участниците. Нито едното не замества другото и полезният въпрос не е кое е по-силно, а кой какво може да прочете на всяка стъпка. Извървете пътя веднъж и ролите стават очевидни.
Две защити, два края
На изпращащото устройство приложението криптира съобщението с ключове, принадлежащи на разговора, и след това предава шифротекста на операционната система. VPN, ако е активен, обвива целия трафик, който отговаря на политиката му, и го носи до шлюз. Оттам пакетът пътува по обикновения интернет до сървърите на приложението, които го препредават към получателя. Само устройството на получателя държи ключа, който превръща шифротекста обратно в текст.
Реле по този път може да види как съобщението пристига и заминава, без да го чете, и точно това свойство трябва да осигурява криптирането от край до край.
Какво може и какво не може да прочете изходът на VPN
Шлюзът на VPN декриптира тунела, а не съдържанието на приложението. Той може да наблюдава кой сървър е потърсил клиентът, кога и колко данни са се преместили, след което да препраща пакетите нататък. Това е значим набор от факти и много по-малък набор от текста на съобщението. За обикновен сайт с HTTPS TLS връзката завършва при сайта, така че сайтът може да прочете изпратеното, дори когато VPN не може. Разликата е в това къде завършва всеки слой, а не в това кой продукт е по-поверителен.
Сменете дестинацията с услуга с криптиране от край до край и релето по средата губи съдържанието, докато VPN все още вижда модела на връзката.
Ключовете принадлежат на разговора, не на маршрута
Ключовете за съдържание се договарят между участниците и остават на техните устройства; VPN не участва в тази размяна. Приложенията често показват номер за безопасност или отпечатък на ключ, за да могат двете страни да сравнят какво имат. Това сравнение открива подменен ключ по средата, което е ценно и по-тясно от доказването кой пише. Потвърждаването на самоличността на човек все още изисква канал извън приложението, например обаждане или проверка на живо. Проверката на сертификата на сървъра на VPN удостоверява съвсем друг край.
Не четете потвърден номер за безопасност като доказателство за собственост на акаунта. Това е доказателство за ключове, а не за хора.
Копия, метаданни и другото устройство
Четимо съдържание съществува в краищата, така че краищата решават какво следва. Направете кратка карта на местата, където може да попадне копие, преди да решите колко помага тунелът.
| Point | Can it read the message | Why |
|---|---|---|
| Sending device | Yes | Content exists before encryption |
| VPN gateway | No | Terminates the tunnel, not the app keys |
| App relay | No, by design | Only ciphertext passes through |
| Recipient device | Yes | Holds the conversation keys |
| Cloud backup | Depends on the product | May store plaintext or an encrypted archive |
Прочетете правилата на приложението за резервни копия, свързани устройства, известия и експорти, защото всяко от тях е отделно копие с собствена обработка. Мрежата все още разкрива време и обем, дори когато съдържанието е защитено, а VPN променя кой доставчик вижда локалната връзка, а не дали такива метаданни съществуват. Файл, експортиран от защитен разговор, запазва защитата, която форматът му предоставя, и тунелът не прави нищо за него след това.
Изберете защитата за това, което покрива: приложението за съдържание и ключове, VPN за маршрута и изгледа на локалната мрежа. След това избройте копията и устройствата, които стоят извън двете.