VPN y cifrado de extremo a extremo: quién puede leer qué

Siga un mensaje desde un teléfono hasta un amigo y verá que pasa por al menos dos tipos distintos de protección. La VPN cubre la ruta entre el cliente y su puerta de enlace, la aplicación de mensajería cubre el contenido entre los dispositivos de los participantes. Ninguna sustituye a la otra, y la pregunta útil no es cuál es más fuerte, sino quién puede leer qué en cada paso. Recorra el camino una vez y los papeles se vuelven evidentes.

Dos protecciones, dos extremos

En el dispositivo emisor, la aplicación cifra el mensaje con claves que pertenecen a la conversación y luego entrega el texto cifrado al sistema operativo. La VPN, si hay una activa, envuelve todo el tráfico que coincide con su política y lo lleva a una puerta de enlace. Desde allí el paquete viaja por la internet ordinaria hasta los servidores de la aplicación, que lo retransmiten hacia el destinatario. Solo el dispositivo del destinatario guarda la clave que convierte el texto cifrado de nuevo en texto.

Un relé en ese camino puede ver un mensaje llegar y salir sin leerlo, y esa es precisamente la propiedad que el cifrado de extremo a extremo debe aportar.

Qué puede y qué no puede leer la salida de la VPN

La puerta de enlace VPN descifra el túnel, no el contenido de la aplicación. Puede observar a qué servidor se conectó el cliente, cuándo y cuántos datos se movieron, y luego reenviar los paquetes. Es un conjunto de hechos significativo y mucho más pequeño que el texto del mensaje. En un sitio HTTPS corriente la conexión TLS termina en el sitio, así que el sitio puede leer lo que se envió aunque la VPN no pueda. La distinción tiene que ver con dónde termina cada capa, no con qué producto es más privado.

Cambie el destino a un servicio cifrado de extremo a extremo y el relé del medio pierde el contenido, mientras la VPN sigue viendo el patrón de conexión.

Las claves pertenecen a la conversación, no a la ruta

Las claves de contenido se negocian entre los participantes y se quedan en sus dispositivos; la VPN no participa en ese intercambio. Las aplicaciones suelen mostrar un número de seguridad o una huella de clave para que ambas partes comparen lo que tienen. Esa comparación detecta una clave sustituida en el medio, lo que es valioso y más estrecho que demostrar quién escribe. Confirmar la identidad de una persona sigue necesitando un canal fuera de la aplicación, como una llamada o una comprobación en persona. La comprobación del certificado del servidor de una VPN verifica un extremo completamente distinto.

No lea un número de seguridad verificado como prueba de la titularidad de la cuenta. Es evidencia sobre claves, no sobre personas.

Copias, metadatos y el otro dispositivo

El contenido legible existe en los extremos, así que los extremos deciden qué pasa después. Haga un mapa breve de los lugares donde puede aterrizar una copia antes de decidir cuánto ayuda el túnel.

Lea las reglas de la aplicación para copias de seguridad, dispositivos vinculados, notificaciones y exportaciones, porque cada una es una copia separada con su propio tratamiento. La red sigue exponiendo el momento y el volumen incluso cuando el contenido está protegido, y una VPN cambia qué proveedor ve la conexión local, no si esos metadatos existen. Un archivo exportado de una conversación protegida conserva la protección que le da su formato, y el túnel no hace nada por él después.

Elija la protección para lo que cubre: la aplicación para el contenido y las claves, la VPN para la ruta y la visión de la red local. Después enumere las copias y los dispositivos que quedan fuera de ambas.