Dati mobili e Wi-Fi del campus: cosa aggiunge davvero una VPN

Chiedete prima chi guarda e poi se un tunnel aiuta, perché la risposta cambia completamente con l'osservatore. Sui dati mobili l'osservatore interessante è l'operatore; sul Wi-Fi del campus è la rete a cui vi siete appena collegati. Sono posizioni diverse con visibilità diverse, e un solo tunnel non può migliorare entrambe allo stesso modo. La maggior parte della confusione nasce dal trattare una VPN come una proprietà del dispositivo invece che come un cambiamento in chi può vedere cosa. Percorrete i salti uno alla volta e la decisione di solito si prende da sola.

Cosa nasconde il salto radio e cosa no

La crittografia radio ha un pessimo storico nelle prime generazioni, e le successive sono più forti senza diventare invisibili. La famiglia GSM A5 è stata violata anni fa, e per gli algoritmi di terza generazione sono stati pubblicati attacchi pratici. Ciò che sopravvive a tutto questo sono i metadati: quale cella, quando, quanto e quali indirizzi. Fate passare il traffico in un tunnel e l'operatore perde le destinazioni mentre il gestore del tunnel le guadagna, uno scambio che vale la pena contro un operatore curioso e non vale nulla contro uno che conserva e vende registrazioni.

L'operatore non è nemmeno l'unica parte su quel percorso: un accordo di roaming aggiunge un'altra rete che può osservare gli stessi metadati, e l'uscita del tunnel diventa il luogo dove tutto questo si raccoglie.

HTTPS copre già la maggior parte

Quasi tutto ciò che le persone fanno su un telefono è già dentro TLS: webmail, banca, messaggistica, la maggior parte delle applicazioni. Un tunnel non rafforza questo, e quando fornisce il resolver può vedere nomi che TLS avrebbe altrimenti nascosto. Ciò che TLS lascia fuori è lo schema delle destinazioni, qualsiasi protocollo legacy in chiaro e il momento e il volume della conversazione.

È esattamente quel residuo che una VPN cambia, ed è per questo che conta di più su un collegamento Wi-Fi condiviso che su un collegamento già crittografato a ogni salto. È anche il motivo per cui un sito bancario su dati mobili non ha bisogno di un tunnel: il certificato e il client affrontano già quella minaccia.

La VPN del campus è uno strumento di accesso

Le università gestiscono una VPN per collocarvi dentro la loro rete, e questa è la risposta corretta per una rivista con licenza, una cartella condivisa di dipartimento, una macchina di laboratorio o un servizio che il perimetro blocca. Non è uno strumento di privacy, e un tunnel completo rende l'università osservatrice di tutto ciò che fate, compresi i siti che non hanno nulla a che vedere con lo studio. Quando l'obiettivo è impedire al campus di vedere le vostre destinazioni, usare la VPN del campus va esattamente al contrario.

La politica di uso accettabile appartiene al meccanismo, non alle note a piè di pagina. Raggiungere una risorsa con licenza attraverso il tunnel del campus è lo scopo per cui esiste; usare un tunnel commerciale per aggirare un filtro del campus è di solito una violazione, che funzioni o no. Quelle due frasi risolvono la maggior parte dei casi reali senza alcuna opinione sui fornitori.

Decidete con tre domande

Restano tre domande: chi è l'osservatore che vi interessa, cosa è già crittografato da un capo all'altro e cosa consente la politica. Rispondete per iscritto, perché le risposte sono brevi e sono la parte che cambia dopo.

Poi scegliete la forma del tunnel da quelle risposte e non dall'abitudine. Se un tunnel serve alle risorse private e un altro istinto alla navigazione ordinaria, teneteli separati invece di chiedere a un solo client di fare male entrambe le cose. Il tunnel diviso è un progetto legittimo e non un compromesso, purché l'instradamento sia scritto e sappiate quale traffico prende quale percorso. Il guasto da evitare è il client che dichiara la connessione mentre invia solo prefissi selezionati, senza che nessuno noti in quale caso si trovi.

Provate entrambi i percorsi, poi descriveteli con onestà

Dopo la connessione provate una risorsa privata e un sito ordinario, e osservate l'indirizzo di uscita a ciascuna estremità. Quell'unica prova separa un tunnel diviso funzionante da un tunnel completo, ed è l'unica affermazione di copertura che potete fare senza indovinare.

Scrivete i due risultati nel ticket. Una frase così vale più di qualsiasi dichiarazione sulla convenienza di una VPN, perché nomina i percorsi invece del prodotto.