Données mobiles et Wi-Fi du campus : ce qu'apporte vraiment un VPN

Demandez d'abord qui regarde avant de demander si un tunnel aide, car la réponse change complètement selon l'observateur. Sur les données mobiles, l'observateur intéressant est l'opérateur ; sur le Wi-Fi du campus, c'est le réseau auquel vous venez de vous connecter. Ce sont des positions différentes avec des visibilités différentes, et un seul tunnel ne peut pas améliorer les deux de la même manière. L'essentiel de la confusion vient de traiter un VPN comme une propriété de l'appareil plutôt que comme un changement dans qui peut voir quoi. Parcourez les sauts un par un et la décision se prend généralement d'elle-même.

Ce que le saut radio cache et ce qu'il ne cache pas

Le chiffrement radio a un mauvais bilan dans ses premières générations, et les suivantes sont plus solides sans devenir invisibles. La famille GSM A5 a été cassée il y a des années, et des attaques pratiques ont été publiées contre les algorithmes de troisième génération. Ce qui survit à tout cela, ce sont les métadonnées : quelle cellule, quand, combien et quelles adresses. Faites passer le trafic dans un tunnel et l'opérateur perd les destinations tandis que l'exploitant du tunnel les gagne, un échange qui vaut la peine face à un opérateur curieux et ne vaut rien face à un opérateur qui conserve et vend des relevés.

L'opérateur n'est pas non plus la seule partie sur ce chemin : un accord d'itinérance ajoute un autre réseau qui peut observer les mêmes métadonnées, et la sortie du tunnel devient le lieu où tout cela se rassemble.

HTTPS couvre déjà l'essentiel

Presque tout ce que les gens font sur un téléphone est déjà dans TLS : messagerie web, banque, messagerie instantanée, la plupart des applications. Un tunnel ne renforce pas cela, et lorsqu'il fournit le résolveur, il peut voir des noms que TLS aurait autrement dissimulés. Ce que TLS laisse dehors, c'est le schéma des destinations, tout ancien protocole en clair, et le moment et le volume de la conversation.

C'est exactement ce résidu qu'un VPN modifie, et c'est pourquoi il compte davantage sur une liaison Wi-Fi partagée que sur une liaison déjà chiffrée à chaque saut. C'est aussi pourquoi un site bancaire sur données mobiles n'a pas besoin de tunnel : le certificat et le client répondent déjà à cette menace.

Le VPN du campus est un outil d'accès

Les universités exploitent un VPN pour vous placer à l'intérieur de leur propre réseau, et c'est la bonne réponse pour une revue sous licence, un partage de département, une machine de laboratoire ou un service que le périmètre bloque. Ce n'est pas un outil de confidentialité, et un tunnel complet fait de l'université l'observatrice de tout ce que vous faites, y compris des sites sans aucun rapport avec vos études. Quand l'objectif est d'empêcher le campus de voir vos destinations, utiliser le VPN du campus va précisément à l'envers.

La politique d'usage acceptable relève du mécanisme et non des notes de bas de page. Atteindre une ressource sous licence par le tunnel du campus est sa raison d'être ; utiliser un tunnel commercial pour contourner un filtre du campus est généralement une infraction, que cela fonctionne ou non. Ces deux phrases règlent la plupart des cas réels sans aucune opinion sur les fournisseurs.

Décidez avec trois questions

Trois questions restent : qui est l'observateur qui vous importe, qu'est-ce qui est déjà chiffré de bout en bout, et ce que la politique autorise. Répondez par écrit, car les réponses sont courtes et c'est la partie qui change ensuite.

Choisissez ensuite la forme du tunnel à partir de ces réponses plutôt que de l'habitude. Si un tunnel sert aux ressources privées et qu'un autre réflexe sert à la navigation ordinaire, gardez-les séparés au lieu de demander à un seul client de faire les deux mal. Le tunnel divisé est une conception légitime et non un compromis, tant que le routage est écrit et que vous savez quel trafic emprunte quel chemin. L'échec à éviter est le client qui signale une connexion tout en n'envoyant que des préfixes sélectionnés, sans que personne ne remarque dans quel cas il se trouve.

Testez les deux chemins, puis décrivez-les honnêtement

Après la connexion, testez une ressource privée et un site ordinaire, et observez l'adresse de sortie à chaque extrémité. Ce seul test distingue un tunnel divisé qui fonctionne d'un tunnel complet, et c'est la seule affirmation de couverture que vous puissiez faire sans deviner.

Écrivez les deux résultats dans le ticket. Une phrase comme celle-là vaut plus que toute déclaration sur l'intérêt d'un VPN, parce qu'elle nomme les chemins au lieu du produit.