VPN dan enkripsi ujung ke ujung: siapa bisa membaca apa
VPN melindungi rute, aplikasi pesan melindungi konten. Bandingkan titik keluar, relai, dan penerima sebelum menganggap salah satunya menyembunyikan pesan.
Ikuti satu pesan dari ponsel ke seorang teman dan pesan itu melewati setidaknya dua jenis perlindungan yang berbeda. VPN menutupi rute antara klien dan gateway-nya, aplikasi pesan menutupi konten antara perangkat para peserta. Tidak satu pun menggantikan yang lain, dan pertanyaan yang berguna bukan mana yang lebih kuat, melainkan siapa dapat membaca apa pada setiap langkah. Telusuri jalur itu sekali dan perannya menjadi jelas.
Dua perlindungan, dua ujung
Di perangkat pengirim, aplikasi mengenkripsi pesan dengan kunci milik percakapan, lalu menyerahkan teks terenkripsi ke sistem operasi. VPN, jika aktif, membungkus semua lalu lintas yang sesuai kebijakannya dan membawanya ke gateway. Dari sana paket berjalan melalui internet biasa ke server aplikasi, yang meneruskannya ke penerima. Hanya perangkat penerima yang menyimpan kunci yang mengubah teks terenkripsi kembali menjadi teks.
Relai di jalur itu dapat melihat pesan datang dan pergi tanpa membacanya, dan itulah tepatnya sifat yang harus diberikan enkripsi ujung ke ujung.
Apa yang bisa dan tidak bisa dibaca titik keluar VPN
Gateway VPN mendekripsi terowongan, bukan konten aplikasi. Gateway itu dapat mengamati server mana yang dihubungi klien, kapan, dan berapa banyak data berpindah, lalu meneruskan paket. Itu kumpulan fakta yang berarti dan jauh lebih kecil daripada teks pesan. Pada situs HTTPS biasa, koneksi TLS berakhir di situs, sehingga situs dapat membaca apa yang dikirim meskipun VPN tidak bisa. Perbedaannya adalah soal di mana setiap lapisan berakhir, bukan soal produk mana yang lebih privat.
Ubah tujuan ke layanan terenkripsi ujung ke ujung dan relai di tengah kehilangan konten, sementara VPN masih melihat pola koneksi.
Kunci milik percakapan, bukan rute
Kunci konten dinegosiasikan di antara peserta dan tetap di perangkat mereka; VPN tidak ambil bagian dalam pertukaran itu. Aplikasi sering menampilkan nomor keamanan atau sidik jari kunci agar kedua pihak dapat membandingkan apa yang mereka miliki. Perbandingan itu mendeteksi kunci yang diganti di tengah, yang bernilai dan lebih sempit daripada membuktikan siapa yang mengetik. Mengonfirmasi identitas seseorang tetap memerlukan saluran di luar aplikasi, seperti panggilan atau pemeriksaan tatap muka. Pemeriksaan sertifikat server VPN memverifikasi titik akhir yang sama sekali berbeda.
Jangan membaca nomor keamanan yang terverifikasi sebagai bukti kepemilikan akun. Itu bukti tentang kunci, bukan tentang orang.
Salinan, metadata, dan perangkat lain
Konten yang dapat dibaca ada di titik ujung, jadi titik ujung menentukan apa yang terjadi berikutnya. Buat peta singkat tempat salinan bisa mendarat sebelum memutuskan seberapa besar terowongan membantu.
| Point | Can it read the message | Why |
|---|---|---|
| Sending device | Yes | Content exists before encryption |
| VPN gateway | No | Terminates the tunnel, not the app keys |
| App relay | No, by design | Only ciphertext passes through |
| Recipient device | Yes | Holds the conversation keys |
| Cloud backup | Depends on the product | May store plaintext or an encrypted archive |
Baca aturan aplikasi untuk cadangan, perangkat tertaut, notifikasi, dan ekspor, karena masing-masing adalah salinan terpisah dengan penanganannya sendiri. Jaringan tetap memperlihatkan waktu dan volume bahkan ketika konten dilindungi, dan VPN mengubah penyedia mana yang melihat koneksi lokal, bukan apakah metadata semacam itu ada. Berkas yang diekspor dari percakapan terlindungi mempertahankan perlindungan yang diberikan formatnya, dan terowongan tidak melakukan apa pun untuknya setelah itu.
Pilih perlindungan sesuai apa yang ditutupinya: aplikasi untuk konten dan kunci, VPN untuk rute dan pandangan jaringan lokal. Lalu daftar salinan dan perangkat yang berada di luar keduanya.