VPN e cifrado de extremo a extremo: quen pode ler que
Unha VPN protexe a ruta; a aplicación de mensaxería protexe o contido. Compare a saída, o relé e o destinatario antes de supor que calquera dos dous oculta a mensaxe.
Siga unha mensaxe desde un teléfono ata un amigo e verá que pasa por polo menos dous tipos distintos de protección. A VPN cobre a ruta entre o cliente e a súa pasarela, a aplicación de mensaxería cobre o contido entre os dispositivos dos participantes. Ningunha substitúe a outra, e a pregunta útil non é cal é máis forte, senón quen pode ler que en cada paso. Percorra o camiño unha vez e os papeis fanse evidentes.
Dúas proteccións, dous extremos
No dispositivo emisor, a aplicación cifra a mensaxe con claves que pertencen á conversa e logo entrega o texto cifrado ao sistema operativo. A VPN, se hai unha activa, envolve todo o tráfico que coincide coa súa política e lévao a unha pasarela. Desde alí o paquete viaxa pola internet común ata os servidores da aplicación, que o retransmiten cara ao destinatario. Só o dispositivo do destinatario ten a clave que converte o texto cifrado de novo en texto.
Un relé nese camiño pode ver unha mensaxe chegar e saír sen lela, e esa é precisamente a propiedade que o cifrado de extremo a extremo debe proporcionar.
Que pode e que non pode ler a saída da VPN
A pasarela VPN descifra o túnel, non o contido da aplicación. Pode observar a que servidor se conectou o cliente, cando e cantos datos se moveron, e despois reenviar os paquetes. É un conxunto de feitos significativo e moito máis pequeno que o texto da mensaxe. Nun sitio HTTPS común a conexión TLS remata no sitio, así que o sitio pode ler o que se enviou aínda que a VPN non poida. A distinción ten que ver con onde remata cada capa, non con que produto é máis privado.
Cambie o destino a un servizo cifrado de extremo a extremo e o relé do medio perde o contido, mentres a VPN segue vendo o patrón de conexión.
As claves pertencen á conversa, non á ruta
As claves de contido négocianse entre os participantes e quedan nos seus dispositivos; a VPN non participa nese intercambio. As aplicacións adoitan mostrar un número de seguridade ou unha pegada de clave para que ambas as partes comparen o que teñen. Esa comparación detecta unha clave substituída no medio, o que é valioso e máis estreito que demostrar quen escribe. Confirmar a identidade dunha persoa segue necesitando unha canle fóra da aplicación, como unha chamada ou unha comprobación en persoa. A comprobación do certificado do servidor dunha VPN verifica un extremo completamente distinto.
Non lea un número de seguridade verificado como proba da titularidade da conta. É evidencia sobre claves, non sobre persoas.
Copias, metadatos e o outro dispositivo
O contido lexible existe nos extremos, así que os extremos deciden que pasa despois. Faga un mapa breve dos lugares onde pode aterrar unha copia antes de decidir canto axuda o túnel.
| Point | Can it read the message | Why |
|---|---|---|
| Sending device | Yes | Content exists before encryption |
| VPN gateway | No | Terminates the tunnel, not the app keys |
| App relay | No, by design | Only ciphertext passes through |
| Recipient device | Yes | Holds the conversation keys |
| Cloud backup | Depends on the product | May store plaintext or an encrypted archive |
Lea as regras da aplicación para copias de seguridade, dispositivos vinculados, notificacións e exportacións, porque cada unha é unha copia separada co seu propio tratamento. A rede segue expondo o momento e o volume incluso cando o contido está protexido, e unha VPN cambia que provedor ve a conexión local, non se eses metadatos existen. Un ficheiro exportado dunha conversa protexida conserva a protección que lle dá o seu formato, e o túnel non fai nada por el despois.
Escolla a protección para o que cobre: a aplicación para o contido e as claves, a VPN para a ruta e a visión da rede local. Despois enumere as copias e os dispositivos que quedan fóra de ambas.