VPN ir šifravimas nuo galo iki galo: kas ką gali perskaityti
VPN saugo maršrutą, o žinučių programa saugo turinį. Palyginkite išėjimą, retransliatorių ir gavėją, prieš manydami, kad vienas jų paslėps žinutę.
Sekite vieną žinutę nuo telefono iki draugo ir pamatysite, kad ji praeina bent du skirtingus apsaugos tipus. VPN apima maršrutą tarp kliento ir jo šliuzo, o žinučių programa apima turinį tarp dalyvių įrenginių. Nė vienas nepakeičia kito, ir naudingas klausimas yra ne kuris stipresnis, o kas kiekviename žingsnyje ką gali perskaityti. Pereikite šį kelią kartą ir vaidmenys taps akivaizdūs.
Dvi apsaugos, du galai
Siunčiančiame įrenginyje programa užšifruoja žinutę pokalbiui priklausančiais raktais, tada perduoda šifruotą tekstą operacinei sistemai. VPN, jei jis aktyvus, apgaubia visą srautą, atitinkantį jo politiką, ir nuneša jį į šliuzą. Iš ten paketas keliauja įprastu internetu į programos serverius, kurie jį persiunčia gavėjui. Tik gavėjo įrenginys turi raktą, kuris šifruotą tekstą vėl paverčia tekstu.
Retransliatorius tame kelyje gali matyti žinutę ateinant ir išeinant jos neskaitęs, ir būtent šią savybę turi užtikrinti šifravimas nuo galo iki galo.
Ką VPN išėjimas gali ir ko negali perskaityti
VPN šliuzas iššifruoja tunelį, o ne programos turinį. Jis gali stebėti, į kurį serverį klientas kreipėsi, kada ir kiek duomenų persikėlė, tada persiųsti paketus toliau. Tai prasminga faktų visuma ir daug mažesnė visuma nei žinutės tekstas. Įprastoje HTTPS svetainėje TLS ryšys baigiasi svetainėje, todėl svetainė gali perskaityti tai, kas buvo pateikta, net jei VPN negali. Skirtumas yra kur baigiasi kiekvienas sluoksnis, o ne tai, kuris produktas yra privatesnis.
Pakeiskite tikslą į paslaugą, šifruotą nuo galo iki galo, ir retransliatorius viduryje neteks turinio, o VPN vis tiek matys ryšio modelį.
Raktai priklauso pokalbiui, o ne maršrutui
Turinio raktai suderinami tarp dalyvių ir lieka jų įrenginiuose; VPN tame apsikeitime nedalyvauja. Programos dažnai rodo saugos numerį arba rakto piršto atspaudą, kad abi pusės galėtų palyginti, ką turi. Toks palyginimas aptinka pakeistą raktą viduryje, o tai vertinga ir siauriau nei įrodyti, kas spausdina. Norint patvirtinti žmogaus tapatybę, vis dar reikia kanalo už programos ribų, pavyzdžiui, skambučio ar akis į akį patikros. VPN serverio sertifikato patikra patvirtina visiškai kitą galinį tašką.
Nelaikykite patvirtinto saugos numerio sąskaitos nuosavybės įrodymu. Tai įrodymas apie raktus, o ne apie žmones.
Kopijos, metaduomenys ir kitas įrenginys
Skaitomas turinys egzistuoja galuose, todėl galai nusprendžia, kas bus toliau. Prieš nuspręsdami, kiek padeda tunelis, sudarykite trumpą vietų, kur gali nusileisti kopija, žemėlapį.
| Point | Can it read the message | Why |
|---|---|---|
| Sending device | Yes | Content exists before encryption |
| VPN gateway | No | Terminates the tunnel, not the app keys |
| App relay | No, by design | Only ciphertext passes through |
| Recipient device | Yes | Holds the conversation keys |
| Cloud backup | Depends on the product | May store plaintext or an encrypted archive |
Perskaitykite programos taisykles dėl atsarginių kopijų, susietų įrenginių, pranešimų ir eksporto, nes kiekviena jų yra atskira kopija su savo tvarkymu. Tinklas vis tiek atskleidžia laiką ir apimtį, net kai turinys apsaugotas, o VPN keičia tai, kuris tiekėjas mato vietinį ryšį, o ne tai, ar tokie metaduomenys egzistuoja. Failas, eksportuotas iš apsaugoto pokalbio, išsaugo apsaugą, kurią suteikia jo formatas, o tunelis po to jam nieko nedaro.
Pasirinkite apsaugą pagal tai, ką ji apima: programą turiniui ir raktams, VPN maršrutui ir vietinio tinklo vaizdui. Tada išvardykite kopijas ir įrenginius, kurie yra už abiejų.