Mobile Daten und Campus-WLAN: Was ein VPN tatsächlich bringt

Fragen Sie zuerst, wer zuschaut, und erst dann, ob ein Tunnel hilft, denn die Antwort ändert sich mit dem Beobachter vollständig. Bei mobilen Daten ist der interessante Beobachter der Netzbetreiber, im Campus-WLAN das Netz, dem Sie gerade beigetreten sind. Das sind verschiedene Positionen mit unterschiedlicher Sicht, und ein Tunnel kann nicht beide auf dieselbe Weise verbessern. Die meiste Verwirrung entsteht daraus, ein VPN als Eigenschaft des Geräts zu behandeln statt als Veränderung dessen, wer was sehen kann. Gehen Sie die Sprünge einzeln durch, und die Entscheidung fällt meist von selbst.

Was der Funkabschnitt verbirgt und was nicht

Die Funkverschlüsselung hat in ihren frühen Generationen eine schlechte Bilanz, und die späteren sind stärker, ohne unsichtbar zu werden. Die GSM-A5-Familie wurde vor Jahren gebrochen, und für die Algorithmen der dritten Generation sind praktische Angriffe veröffentlicht. Was das alles überlebt, sind Metadaten: welche Zelle, wann, wie viel und welche Adressen. Leiten Sie den Verkehr durch einen Tunnel, verliert der Betreiber die Ziele, während der Tunnelbetreiber sie gewinnt; ein Tausch, der gegen einen neugierigen Betreiber lohnt und gegen einen, der Aufzeichnungen aufbewahrt und verkauft, wertlos ist.

Der Betreiber ist auch nicht die einzige Partei auf diesem Weg: Eine Roaming-Vereinbarung fügt ein weiteres Netz hinzu, das dieselben Metadaten beobachten kann, und der Ausgang des Tunnels wird zum Ort, an dem all das zusammenläuft.

HTTPS deckt das meiste davon bereits ab

Fast alles, was Menschen auf einem Telefon tun, liegt bereits in TLS: Webmail, Banking, Messaging, die meisten Anwendungen. Ein Tunnel verstärkt das nicht, und wenn er den Resolver stellt, sieht er Namen, die TLS sonst verborgen hätte. Was TLS außen vor lässt, sind das Zielmuster, jedes alte Klartextprotokoll sowie Zeitverlauf und Umfang des Gesprächs.

Genau dieser Rest ist es, was ein VPN verändert, und deshalb zählt er auf einer geteilten WLAN-Verbindung mehr als auf einer Verbindung, die bereits pro Sprung verschlüsselt ist. Deshalb braucht eine Bankseite über mobile Daten keinen Tunnel: Zertifikat und Client adressieren diese Bedrohung bereits.

Das Campus-VPN ist ein Zugangswerkzeug

Universitäten betreiben ein VPN, um Sie in ihr eigenes Netz zu bringen, und das ist die richtige Antwort für eine lizenzierte Zeitschrift, eine Abteilungsfreigabe, eine Labormaschine oder einen Dienst, den der Perimeter blockiert. Es ist kein Datenschutswerkzeug, und ein voller Tunnel macht die Universität zum Beobachter von allem, was Sie tun, einschließlich Seiten, die nichts mit dem Studium zu tun haben. Wenn das Ziel ist, den Campus Ihre Ziele nicht sehen zu lassen, ist die Nutzung des Campus-VPN genau verkehrt herum.

Die Nutzungsrichtlinie gehört zum Mechanismus, nicht zu den Fußnoten. Eine lizenzierte Ressource durch den Campus-Tunnel zu erreichen, ist ihr Zweck; einen kommerziellen Tunnel zu benutzen, um einen Campus-Filter zu umgehen, ist in der Regel ein Verstoß, ob er funktioniert oder nicht. Diese zwei Sätze klären die meisten realen Fälle, ohne eine Meinung zu Anbietern zu haben.

Entscheiden Sie mit drei Fragen

Drei Fragen bleiben: Wer ist der Beobachter, der Ihnen wichtig ist, was ist bereits Ende-zu-Ende verschlüsselt, und was erlaubt die Richtlinie. Beantworten Sie sie schriftlich, denn die Antworten sind kurz und sie sind der Teil, der sich später ändert.

Wählen Sie dann die Form des Tunnels aus diesen Antworten statt aus Gewohnheit. Wenn ein Tunnel für private Ressourcen und ein anderer Instinkt für gewöhnliches Surfen ist, halten Sie sie getrennt, statt einen Client zu bitten, beides schlecht zu machen. Split-Tunneling ist ein legitimes Design und kein Kompromiss, solange das Routing aufgeschrieben ist und Sie wissen, welcher Verkehr welchen Weg nimmt. Der Fehler, den es zu vermeiden gilt, ist der Client, der Verbindung meldet, während er nur ausgewählte Präfixe sendet, ohne dass jemand bemerkt, in welchem Fall sie sich befinden.

Testen Sie beide Wege und beschreiben Sie sie ehrlich

Testen Sie nach dem Verbinden eine private Ressource und eine gewöhnliche Website, und beobachten Sie die Ausgangsadresse an beiden Enden. Dieser eine Test trennt einen funktionierenden Split-Tunnel von einem vollen Tunnel, und er ist die einzige Abdeckungsaussage, die Sie ohne Raten treffen können.

Schreiben Sie die beiden Ergebnisse ins Ticket. Ein solcher Satz ist mehr wert als jede Aussage darüber, ob sich das VPN lohnt, denn er benennt die Wege statt das Produkt.