Kan nogen se din IP i en chatapp? Hvad hver observatør ved

»Hvem taler jeg med?« er to spørgsmål i én sætning. Det ene handler om den konto, der skrev beskeden, det andet om maskinen i den anden ende af den netværksforbindelse, som din klient faktisk holder. I en chat, der videresendes gennem en tjeneste, er det næsten aldrig samme enhed, og forskellen forklarer det meste af forvirringen om, hvad en VPN skjuler eller ikke skjuler for den person, du skriver til. Får du topologien rigtigt, bliver spørgsmålet om privatliv noget, der kan besvares, i stedet for noget følelsesladet.

Din klient taler med tjenesten, ikke med den anden person

Forestil dig en tekstchatapplikation, hvor hver deltager forbinder til tjenesten, og tjenesten leverer beskeder mellem konti. Din klient holder en forbindelse til tjenesten; den anden deltager holder en separat forbindelse til samme tjeneste. Beskeden rejser fra deres klient til tjenesten og fra tjenesten til din, hvilket betyder, at din transportmodpart er et endepunkt i tjenesten og ikke deres enhed.

Alex's client  ->  chat service  ->  your client

Alt det følgende kommer fra det ene diagram. At kigge på din egen forbindelse identificerer tjenesten, ikke Alex. At kigge på Alex’ forbindelse identificerer tjenesten fra den anden side. Ingen af observationerne er i sig selv en registrering på pakkeniveau af den anden persons enhed, og ingen mængde inspektion af din egen trafik gør den til det.

Forskellige observatører indsamler forskellige beviser

Tjenesten er i en stærkere position end nogen af deltagerne, fordi den afslutter begge forbindelser og samtidig ved, hvilken konto der ejer hver af dem. Hvad den opbevarer, hvor længe, hvilke registreringer den sammenkæder, og hvem den videregiver dem til, er separate spørgsmål med separate svar, og ingen af dem besvares af »appen er end-to-end-krypteret«.

Du er som modtager i en svag position med hensyn til netværksfakta, men i en stærk position med hensyn til indholdsfakta: beskedteksten, det viste navn, alt hvad afsenderen har skrevet eller vedhæftet. En afsender, der selv skriver sin adresse, har afsløret den, og den afsløring er ikke en netværksobservation, selv om den læses som en.

Hvis Alex forbinder gennem en VPN, kan tjenesten se udgangsadressen for den forbindelse i stedet for Alex’ hjemadresse. Det er en udtalelse om, hvad tjenesten ser. Det betyder ikke, at udgangsadressen bliver givet til dig, og det betyder helt sikkert ikke, at din egen forbindelse anonymiseres af Alex’ valg af transport.

Når appen virkelig er peer-to-peer

Videresendelsesmodellen er en model, ikke en lov. Nogle beskedfunktioner etablerer direkte veje mellem klienter, for eksempel en browserbaseret datakanal, der forhandles gennem en signaleringsserver, eller en filoverførselsfunktion, der forbinder de to enheder for at undgå at videresende store datamængder. I de tilfælde er transportmodparten virkelig den anden deltagers enhed, og observatøranalysen ændres fuldstændigt.

En apps venlige etiket er ikke nok til at fortælle dig, hvilken af delene du er i. »Direkte besked« beskriver, hvem der læser den, ikke hvordan den transporteres, og en opkalds- eller skærmdelingsfunktion i samme app kan bruge en anden topologi end teksttråden ved siden af. Læs leverandørens dokumentation for den konkrete funktion, eller se hvilke forbindelser din klient åbner, mens du bruger den.

Udsagnet om end-to-end-kryptering dækker, hvem der kan læse beskyttet indhold. Det siger intet om, hvilke servere der accepterer forbindelser, hvilke metadata de ser, eller om der findes en direkte vej, og RFC 6973’ diskussion af observatørens muligheder er en nyttig disciplin: navngiv observatøren, og opregn derefter, hvad den observatør faktisk kan indsamle.

Hvad det betyder for en VPN

En VPN ændrer, hvad tjenesten ser for din forbindelse. Den ændrer ikke, hvem din transportmodpart er, og den giver ikke den anden deltager et nyt syn på din adresse. At forvente, at en VPN skjuler dig for den person, du skriver til, er en kategorifejl: deres klient har aldrig haft en forbindelse til din.

Hvad en VPN kan ændre, er en direkte-vej-funktion. Hvis appen ellers ville forhandle en peer-to-peer-forbindelse, kan det at føre din trafik gennem en tunnel i stedet tvinge en videresendelse, og nogle funktioner vil opføre sig anderledes eller falde tilbage; det er en reel effekt, men den handler om topologi, ikke om at forsvinde fra samtalen.

Hold derefter de to spørgsmål adskilt i alt, hvad du skriver ned. Hvilken konto sendte dette, og hvilket endepunkt bar det. Besvar begge udtrykkeligt, noter hvem der kan observere hvert svar, og hold op med at slå dem sammen til en enkelt dom om, hvorvidt en besked kan spores.