Wer sieht deine IP während eines WhatsApp-Anrufs, und was ein VPN ändert
Die Gegenstelle, der Dienst und dein Zugangsnetz sehen unterschiedliche Dinge. Benenne den Beobachter, vor dem du dich verstecken willst, und wähle dann eine Relay-Einstellung oder einen Tunnelpfad.
Ein WhatsApp-Anruf gibt Adressinformationen an mehr als eine Partei preis, und die Parteien erfahren nicht alle dasselbe. Die Person, mit der du sprichst, kann etwas über deinen Netzwerkpfad erfahren, der Dienst erfährt, welche Verbindung ihn erreicht hat, und dein Zugangsanbieter sieht die Datenströme, die du erzeugst. Ein VPN und ein Relay in der App ändern jeweils einen Teil dieses Bildes. Deshalb hat die Frage, ob ein VPN meine IP bei Anrufen verbirgt, keine einzige Antwort.
Drei Beobachter, drei verschiedene Fragen
Beginne damit, den Beobachter zu benennen, vor dem du dich verstecken willst, denn die Mechanismen sind nicht austauschbar. Sich vor der anderen Gesprächspartei zu verbergen ist eine Adressierungsfrage. Sich vor dem Dienst zu verbergen ist eine Konto-und-Verbindung-Frage, und sie ist viel schwerer zu beantworten, als es klingt.
| Observer | What it can learn | What changes it |
|---|---|---|
| The other participant | Whether the media path appears to come from your address or from a relay | Relay settings in the app, or a network path that does not expose your address |
| The service | Your account, the connection your client made, and the call's participants | Very little from an address change alone; the account is the identifier |
| Your access network | That encrypted traffic to certain endpoints exists, and how much | Routing through a tunnel moves the visible endpoint |
Jede Zeile lässt sich unabhängig verbessern. Eine Verbesserung in einer Zeile lässt die anderen genau so, wie sie waren, und deshalb enthalten ehrliche Antworten auf diese Frage meist das Wort teilweise.
Was das Weiterleiten tatsächlich ändert
WhatsApp dokumentiert eine Einstellung namens IP-Adresse bei Anrufen schützen, die unter den erweiterten Datenschutzoptionen der App zu finden ist. Sie leitet die Anrufmedien über WhatsApp-Server, statt die Teilnehmer direkt zu verbinden. Dieselbe Anleitung stellt fest, dass weitergeleitete Anrufe Ende-zu-Ende-verschlüsselt bleiben. Sie warnt außerdem, dass sich die Anrufqualität ändern kann.
Weiterleiten ist eine Dienstfunktion und keine Netzwerkkonfiguration, gilt also für die Anrufe, die die App weiterleiten will, und für nichts anderes auf dem Gerät. WhatsApps Hilfeseite zu dieser Funktion ist die aktuelle Autorität dafür, welche Plattformen sie anbieten und wo der Schalter liegt.
Das Relay verbirgt den Anruf auch nicht vor dem Dienst, denn der Dienst ist das Relay. Es ändert, was die andere Gesprächspartei über deine Adresse beobachten kann. Es kann auch Verzögerung hinzufügen, und das ist der Kompromiss, den die Einstellung eingeht.
Was ein VPN am Anrufpfad ändert
Ein VPN ändert, woher dein Datenverkehr für alles, was es trägt, scheinbar stammt. Ob es einen bestimmten Anruf trägt, hängt von der Routing-Richtlinie des Clients ab. Ein voller Tunnel übernimmt den gesamten Verkehr, während Split-Tunneling möglicherweise nur einige Präfixe übernimmt. Ein Telefon mit Wi-Fi und Mobilfunkdaten kann im selben Moment unterschiedliche Pfade für unterschiedliche Ströme nutzen.
Das heißt, eine Adresse, die du im Browser überprüft hast, ist kein Beweis für den Anruf. Die App kann eine langlebige Verbindung halten, die älter als der Tunnel ist, oder eine Adressfamilie nutzen, die der Tunnel nicht abdeckt. Prüfe die Routing-Entscheidung für das tatsächliche Ziel statt für eine Website, die du zufällig getestet hast.
Die Ende-zu-Ende-Verschlüsselung des Inhalts ist eine eigene Grenze gegenüber all dem. Sie bricht nicht zusammen, wenn sich der Pfad ändert, und sie deckt auch die Metadaten nicht ab.
Verschlüsselung und Adressprivatsphäre sind verschiedene Versprechen
Anrufinhalte verschlüsselt zu halten bedeutet, dass das Relay nicht zuhören kann. Es bedeutet nicht, dass das Relay nichts erfährt: Es sieht weiterhin, welche Konten verbunden sind, wann und wie lange, denn genau das tut ein Relay.
Umgekehrt macht es dein Konto nicht anonym gegenüber dem Dienst, der es authentifiziert, wenn du deine Adresse vor der Gegenstelle verbirgst. Das sind zwei getrennte Behauptungen. Eine Datenschutzprüfung, die beide verschmilzt, erzeugt ein falsches Gefühl von Abdeckung. Formuliere die Anforderung als Satz über einen bestimmten Beobachter und prüfe dann, ob der gewählte Mechanismus diesen Beobachter adressiert und nicht einen benachbarten.
Überprüfe die Behauptung, die dir wirklich wichtig ist
Wenn die Anforderung dein Zugangsnetz betrifft, ist die Prüfung eine Routing-Frage, die du lokal beantworten kannst. Wenn sie die Gegenstelle betrifft, ist die Prüfung die eigene Einstellung der App. Keine Tunnelkonfiguration ersetzt diese Einstellung.
ip rule show | head -n 10 ip route get 198.51.100.7 ss -tun state established '( dport = :443 )' tcpdump -ni wg0 -c 20 'udp or tcp port 443'
Die Routensuche sagt dir, welche Schnittstelle ein Ziel verwenden würde. Die Socket-Liste sagt dir, ob bereits eine langlebige Verbindung besteht. Die Aufzeichnung sagt dir, ob der Verkehr tatsächlich die Tunnelschnittstelle überquert. Ersetze die Dokumentationsadresse durch den Endpunkt, den du aus der eigenen Verbindung der App ermittelt hast, und lies die Ergebnisse, statt anzunehmen, der Tunnel habe alles übernommen.
Halte fest, auf welchen Mechanismus du dich für welchen Beobachter verlassen hast, zusammen mit Datum und App-Version. Sowohl die Relay-Einstellung als auch das Routing-Verhalten des Clients ändern sich mit der Zeit, und eine Notiz, die den Beobachter nennt, ist die einzige Fassung davon, die nützlich bleibt.