Mobildata og campus-Wi-Fi: hvad en VPN rent faktisk tilføjer

Spørg først, hvem der kigger, og derefter om en tunnel hjælper, for svaret ændrer sig fuldstændigt med observatøren. På mobildata er den interessante observatør operatøren; på campus-Wi-Fi er det netværket, du netop har tilsluttet dig. Det er forskellige positioner med forskellig synlighed, og én tunnel kan ikke forbedre begge på samme måde. Det meste af forvirringen kommer af at behandle en VPN som en egenskab ved enheden i stedet for en ændring i, hvem der kan se hvad. Gå springene igennem et ad gangen, og beslutningen træffer sig ofte selv.

Hvad radiospringet skjuler, og hvad det ikke skjuler

Radiokryptering har en dårlig historik i sine tidlige generationer, og de senere er stærkere uden at blive usynlige. GSM A5-familien blev brudt for år tilbage, og for tredjegenerationsalgoritmerne er der offentliggjort praktiske angreb. Det, der overlever det hele, er metadata: hvilken celle, hvornår, hvor meget og hvilke adresser. Send trafikken gennem en tunnel, og operatøren mister destinationerne, mens tunneloperatøren får dem; det er en handel, der er værd at gøre mod en nysgerrig operatør og værdiløs mod en, der gemmer og sælger registreringer.

Operatøren er heller ikke den eneste part på den vej: en roamingaftale tilføjer endnu et netværk, der kan observere de samme metadata, og tunnelens udgang bliver det sted, hvor det hele samles.

HTTPS dækker allerede det meste

Næsten alt, hvad folk gør på en telefon, er allerede inde i TLS: webmail, bank, beskeder, de fleste applikationer. En tunnel styrker ikke det, og når den leverer resolveren, kan den se navne, som TLS ellers ville have skjult. Det, TLS lader stå udenfor, er destinationsmønstret, enhver ældre protokol med klartekst samt samtalens timing og volumen.

Netop den rest er det, en VPN ændrer, og derfor betyder den mere på et delt Wi-Fi-link end på et link, der allerede er krypteret pr. spring. Det er også derfor, at en bankside over mobildata ikke behøver en tunnel: certifikatet og klienten håndterer allerede den trussel.

Campus-VPN'en er et adgangsværktøj

Universiteter kører en VPN for at placere dig inde i deres eget netværk, og det er det rigtige svar til et licenseret tidsskrift, et afdelingsshare, en laboratoriemaskine eller en tjeneste, som perimeteret blokerer. Det er ikke et privatlivsværktøj, og en fuld tunnel gør universitetet til observatør af alt, hvad du gør, inklusive sider, der intet har med studiet at gøre. Når målet er at forhindre campus i at se dine destinationer, er brug af campus-VPN'en præcis bagvendt.

Politikken for acceptabel brug hører til mekanismen frem for fodnoterne. At nå en licenseret ressource gennem campus-tunnelen er det, den er til; at bruge en kommerciel tunnel til at omgå et campusfilter er normalt en overtrædelse, uanset om det virker. De to sætninger afgør de fleste virkelige sager uden nogen holdning til leverandører.

Beslut med tre spørgsmål

Tre spørgsmål står tilbage: hvem er den observatør, du bekymrer dig om, hvad er allerede krypteret ende-til-ende, og hvad tillader politikken. Besvar dem skriftligt, for svarene er korte, og de er den del, der senere ændrer sig.

Vælg derefter tunnelens form ud fra disse svar frem for af vane. Hvis én tunnel er til private ressourcer, og en anden instinkt er til almindelig browsing, så hold dem adskilt i stedet for at bede én klient om at gøre begge dele dårligt. Delt tunnelling er et legitimt design frem for et kompromis, så længe routing er skrevet ned, og du ved, hvilken trafik der tager hvilken vej. Den fejl, der skal undgås, er klienten, der rapporterer forbundet, mens den kun sender udvalgte præfikser, uden at nogen bemærker, hvilket tilfælde de er i.

Test begge veje, og beskriv dem ærligt

Efter forbindelsen testes én privat ressource og ét almindeligt websted, og udgangsadressen i hver ende observeres. Den ene test adskiller en fungerende delt tunnel fra en fuld tunnel, og det er det eneste dækningsudsagn, du kan komme med uden at gætte.

Skriv de to resultater i sagen. En sætning som den er mere værd end nogen udtalelse om, hvorvidt VPN'en er det værd, fordi den navngiver vejene i stedet for produktet.