VPN ja otsast-otsani krüpteerimine: kes mida lugeda saab
VPN kaitseb teekonda, sõnumirakendus kaitseb sisu. Võrrelge väljapääsu, releed ja saajat enne, kui eeldate, et kumbki neist sõnumi peidab.
Jälgige üht sõnumit telefonist sõbra juurde ja see läbib vähemalt kahte erinevat liiki kaitset. VPN katab teekonna kliendi ja selle lüüsi vahel, sõnumirakendus katab sisu osalejate seadmete vahel. Kumbki ei asenda teist ja kasulik küsimus ei ole, kumb on tugevam, vaid kes millises etapis mida lugeda saab. Käige see tee korra läbi ja rollid muutuvad ilmseks.
Kaks kaitset, kaks otspunkti
Saatvas seadmes krüpteerib rakendus sõnumi vestlusele kuuluvate võtmetega ja annab seejärel šifreeritud teksti operatsioonisüsteemile. VPN, kui see on aktiivne, mässib kokku kogu liikluse, mis vastab selle poliitikale, ja viib selle lüüsi. Sealt liigub pakett tavalise interneti kaudu rakenduse serveritesse, mis edastavad selle saaja poole. Ainult saaja seade hoiab võtit, mis muudab šifreeritud teksti tagasi tekstiks.
Relee sellel teel võib näha sõnumit saabumas ja lahkumas ilma seda lugemata, ja täpselt see omadus peab otsast-otsani krüpteerimisel olema.
Mida VPN-i väljapääs lugeda saab ja mida mitte
VPN-i lüüs dekrüpteerib tunnelit, mitte rakenduse sisu. See võib jälgida, millist serverit klient külastas, millal ja kui palju andmeid liikus, ning seejärel pakette edasi saata. See on oluline faktide kogum ja palju väiksem kogum kui sõnumi tekst. Tavalisel HTTPS-i saidil lõpeb TLS-ühendus saidil, nii et sait saab lugeda seda, mis saadeti, isegi kui VPN ei saa. Erinevus on selles, kus iga kiht lõpeb, mitte selles, milline toode on privaatsem.
Muutke sihtkoht otsast-otsani krüpteeritud teenuseks ja relee keskel kaotab sisu, samal ajal kui VPN näeb endiselt ühenduse mustrit.
Võtmed kuuluvad vestlusele, mitte teekonnale
Sisu võtmeid läbiräägitakse osalejate vahel ja need jäävad nende seadmetesse; VPN ei osale selles vahetuses. Rakendused näitavad sageli turvanumbrit või võtme sõrmejälge, et mõlemad pooled saaksid võrrelda seda, mis neil on. See võrdlus tuvastab keskel asendatud võtme, mis on väärtuslik ja kitsam kui tõestada, kes trükib. Inimese identiteedi kinnitamine nõuab endiselt kanalit väljaspool rakendust, näiteks kõnet või silmast silma kontrolli. VPN-i serverisertifikaadi kontroll kontrollib hoopis teist otspunkti.
Ärge lugege kinnitatud turvanumbrit kontole omandiõiguse tõendina. See on tõend võtmete, mitte inimeste kohta.
Kooped, metaandmed ja teine seade
Loetav sisu on otspunktides, seega otsustavad otspunktid, mis juhtub edasi. Tehke lühike kaart kohtadest, kuhu koopia võib maanduda, enne kui otsustate, kui palju tunnel aitab.
| Point | Can it read the message | Why |
|---|---|---|
| Sending device | Yes | Content exists before encryption |
| VPN gateway | No | Terminates the tunnel, not the app keys |
| App relay | No, by design | Only ciphertext passes through |
| Recipient device | Yes | Holds the conversation keys |
| Cloud backup | Depends on the product | May store plaintext or an encrypted archive |
Lugege rakenduse reegleid varukoopiate, lingitud seadmete, teavituste ja ekspordi kohta, sest igaüks neist on eraldi koopia oma käsitlusega. Võrk paljastab endiselt aja ja mahu ka siis, kui sisu on kaitstud, ja VPN muudab, milline teenusepakkuja näeb kohalikku ühendust, mitte seda, kas sellised metaandmed on olemas. Kaitstud vestlusest eksporditud fail säilitab kaitse, mille annab selle vorming, ja tunnel ei tee selle jaoks hiljem midagi.
Valige kaitse selle järgi, mida see katab: rakendus sisu ja võtmete jaoks, VPN teekonna ja kohaliku võrgu vaate jaoks. Seejärel loetlege koopiad ja seadmed, mis jäävad mõlemast väljapoole.