VPN und Ende-zu-Ende-Verschlüsselung: Wer was lesen kann

Folgen Sie einer Nachricht vom Telefon zu einem Freund, und sie durchläuft mindestens zwei verschiedene Arten von Schutz. Das VPN deckt die Route zwischen Client und Gateway ab, die Messaging-App den Inhalt zwischen den Geräten der Teilnehmer. Keines ersetzt das andere, und die sinnvolle Frage ist nicht, welches stärker ist, sondern wer an welchem Schritt was lesen kann. Gehen Sie den Weg einmal ab, und die Rollen werden deutlich.

Zwei Schutzschichten, zwei Endpunkte

Auf dem Sendegerät verschlüsselt die App die Nachricht mit Schlüsseln der Unterhaltung und übergibt den Geheimtext dann an das Betriebssystem. Das VPN, sofern aktiv, verpackt jeden Verkehr, der seiner Richtlinie entspricht, und trägt ihn zu einem Gateway. Von dort reist das Paket über das gewöhnliche Internet zu den Servern der App, die es an den Empfänger weiterleiten. Nur das Gerät des Empfängers hält den Schlüssel, der den Geheimtext wieder in Text verwandelt.

Ein Relais auf diesem Weg kann sehen, wie eine Nachricht ankommt und weitergeht, ohne sie zu lesen, und genau diese Eigenschaft soll Ende-zu-Ende-Verschlüsselung liefern.

Was der VPN-Ausgang lesen kann und was nicht

Ein VPN-Gateway entschlüsselt den Tunnel, nicht den Inhalt der App. Es kann beobachten, welchen Server der Client kontaktiert hat, wann und wie viele Daten bewegt wurden, und die Pakete dann weiterleiten. Das ist eine aussagekräftige Sammlung von Fakten und eine viel kleinere als der Nachrichtentext. Bei einer gewöhnlichen HTTPS-Website endet die TLS-Verbindung an der Website, sodass die Website lesen kann, was übermittelt wurde, auch wenn das VPN es nicht kann. Der Unterschied betrifft wo jede Schicht endet, nicht die Frage, welches Produkt privater ist.

Ändern Sie das Ziel zu einem Ende-zu-Ende-verschlüsselten Dienst, verliert das Relais in der Mitte den Inhalt, während das VPN das Verbindungsmuster weiterhin sieht.

Schlüssel gehören zur Unterhaltung, nicht zur Route

Inhaltsschlüssel werden zwischen den Teilnehmern ausgehandelt und bleiben auf ihren Geräten; ein VPN ist an diesem Austausch nicht beteiligt. Apps zeigen oft eine Sicherheitsnummer oder einen Schlüsselfingerabdruck, damit beide Seiten vergleichen können, was sie haben. Dieser Vergleich deckt einen ausgetauschten Schlüssel in der Mitte auf, was wertvoll und enger ist, als zu beweisen, wer tippt. Die Bestätigung der Identität einer Person braucht weiterhin einen Kanal außerhalb der App, etwa einen Anruf oder eine Prüfung von Angesicht zu Angesicht. Die Serverzertifikatsprüfung eines VPN verifiziert einen völlig anderen Endpunkt.

Lesen Sie eine bestätigte Sicherheitsnummer nicht als Beweis für Kontoinhaberschaft. Sie ist ein Beleg über Schlüssel, nicht über Menschen.

Kopien, Metadaten und das andere Gerät

Lesbarer Inhalt existiert an den Endpunkten, also entscheiden die Endpunkte, was als Nächstes geschieht. Erstellen Sie eine kurze Karte der Orte, an denen eine Kopie landen kann, bevor Sie entscheiden, wie viel der Tunnel hilft.

Lesen Sie die Regeln der App für Backups, verknüpfte Geräte, Benachrichtigungen und Exporte, denn jedes davon ist eine eigene Kopie mit eigener Behandlung. Das Netzwerk gibt weiterhin Zeitpunkt und Umfang preis, selbst wenn der Inhalt geschützt ist, und ein VPN ändert, welcher Anbieter die lokale Verbindung sieht, nicht ob solche Metadaten existieren. Eine aus einer geschützten Unterhaltung exportierte Datei behält den Schutz, den ihr Format bietet, und der Tunnel tut danach nichts mehr für sie.

Wählen Sie den Schutz für das, was er abdeckt: die App für Inhalt und Schlüssel, das VPN für die Route und den Blick auf das lokale Netz. Listen Sie dann die Kopien und Geräte auf, die außerhalb beider liegen.