モバイルデータとキャンパスWi-Fi：VPNが実際に何を加えるのか

トンネルが役立つかを尋ねる前にまず誰が見ているのかを尋ねよ、答えは観察者によってまったく変わるからだ。モバイルデータでは興味深い観察者は事業者であり、キャンパスWi-Fiではたった今接続したネットワークである。これらは異なる位置にあり見える範囲も異なるため、ひとつのトンネルが両方を同じようによくすることはできない。混乱の多くは、VPNを「誰が何を見られるか」の変化ではなく端末の性質とみなすことから生じる。各ホップを一つずつたどれば、判断はたいてい自然に決まる。

無線区間が隠すものと隠さないもの

無線の暗号化は初期世代では実績が悪く、後の世代は目に見えなくなることなく強くなっている。GSM A5ファミリーは数年前に破られ、第三世代のアルゴリズムには実用的な攻撃が公開されている。それでも残るのは、どのセル、いつ、どれだけ、どのアドレスかというメタデータである。トンネルを通せば事業者は宛先を失いトンネル事業者がそれを得るが、これは好奇心の強い事業者には価値のある交換であり、記録を保存して売る事業者には無価値である。

事業者はその経路上の唯一の当事者ではなく、ローミング契約は同じメタデータを観察できる別のネットワークを加え、トンネルの出口はそれらすべてが集まる場所になる。

HTTPSはすでにその大半を覆っている

人がスマートフォンで行うほぼすべてはすでにTLSの内側にあり、ウェブメールも銀行もメッセージもほとんどのアプリもそうだ。トンネルはそれを強くしないし、リゾルバを提供するときにはTLSなら隠していた名前を見ることができる。TLSが外に残すのは宛先のパターン、古い平文プロトコル、そして会話の時刻と量である。

その残余こそVPNが変えるものであり、だからこそホップごとに暗号化済みの回線よりも共有Wi-Fi回線で重要になる。モバイルデータ上の銀行サイトにトンネルが要らないのも同じ理由で、証明書とクライアントがすでにその脅威に対処している。

キャンパスのVPNはアクセス手段である

大学がVPNを運用するのは、あなたを自分たちのネットワークの内側に置くためであり、ライセンス契約の学術誌、学科の共有フォルダ、実験機、外周が遮断するサービスにはそれが正しい答えだ。これはプライバシーの道具ではなく、フルトンネルは授業と無関係なサイトも含めてあなたの行動すべてを大学に見せる。目標がキャンパスに宛先を見せないことなら、キャンパスのVPNを使うのはまったく逆である。

利用ポリシーは脚注ではなく仕組みに属する。ライセンス資源にキャンパスのトンネルで到達することはそのための用途だ。キャンパスのフィルタを迂回するために商用トンネルを使うのは機能するかどうかにかかわらず通常は違反であり、この二文でベンダーへの意見なしに現実のほとんどの事例は片づく。

三つの問いで決める

残る問いは三つで、気にかける観察者は誰か、何がすでに端から端まで暗号化されているか、ポリシーが何を許すかだ。書面で答えよ、答えは短く、後で変わるのはその部分だからだ。

そして習慣ではなくその答えからトンネルの形を選ぶ。一方が私有リソース用で、もう一方の直感が通常の閲覧用なら、一つのクライアントに両方を下手にやらせるのではなく、別々に保つ。分割トンネルは妥協ではなく、経路が文書化されどのトラフィックがどの経路を通るかを知っていれば正当な設計だ。避けるべき失敗は、接続済みと報告しながら選択したプレフィックスだけを送り、誰もその状態に気づかないクライアントである。

両方の経路を試し、正直に記述する

接続後に私有リソースと通常のウェブサイトを一つずつ試し、両端で出口アドレスを観察する。その一つの試験が機能する分割トンネルとフルトンネルを分け、当て推量なしにできる唯一の適用範囲の主張である。

二つの結果をチケットに書く。そのような一文は、製品ではなく経路を名指ししているからこそ、VPNが割に合うかどうかについてのどんな説明よりも価値がある。