VPN un šifrēšana no gala līdz galam: kas ko var lasīt
VPN aizsargā maršrutu, ziņojumapmaiņas lietotne aizsargā saturu. Salīdziniet izeju, starpnieku un saņēmēju, pirms pieņemat, ka kāds no tiem slēpj ziņojumu.
Izsekojiet vienai ziņai no telefona līdz draugam un redzēsiet, ka tā iziet vismaz cauri diviem dažādiem aizsardzības veidiem. VPN aptver maršrutu starp klientu un tā vārteju, savukārt ziņojumapmaiņas lietotne aptver saturu starp dalībnieku ierīcēm. Neviens neaizstāj otru, un lietderīgais jautājums nav, kurš ir stiprāks, bet gan kas katrā solī ko var lasīt. Reiz izstaigājiet šo ceļu, un lomas kļūs acīmredzamas.
Divi aizsargi, divi gali
Sūtītājā ierīcē lietotne šifrē ziņu ar sarunai piederošām atslēgām, pēc tam nodod šifrēto tekstu operētājsistēmai. VPN, ja tas ir aktīvs, iesaiņo visu satiksmi, kas atbilst tā politikai, un aiznes to uz vārteju. No turienes pakete ceļo pa parasto internetu uz lietotnes serveriem, kas to pārsūta saņēmējam. Tikai saņēmēja ierīce glabā atslēgu, kas šifrēto tekstu pārvērš atpakaļ tekstā.
Starpnieks šajā ceļā var redzēt ziņu ienākam un izejam, to nelasot, un tieši šī īpašība ir jāsniedz šifrēšanai no gala līdz galam.
Ko VPN izeja var un ko nevar lasīt
VPN vārteja atšifrē tuneli, nevis lietotnes saturu. Tā var novērot, kuru serveri klients uzrunāja, kad un cik daudz datu pārvietojās, un pēc tam pārsūtīt paketes tālāk. Tas ir nozīmīgs faktu kopums un daudz mazāks kopums nekā ziņas teksts. Parastā HTTPS vietnē TLS savienojums beidzas vietnē, tāpēc vietne var lasīt iesniegto, pat ja VPN to nevar. Atšķirība ir kur beidzas katrs slānis, nevis tajā, kurš produkts ir privātāks.
Mainiet galamērķi uz pakalpojumu, kas šifrēts no gala līdz galam, un starpnieks vidū zaudēs saturu, kamēr VPN joprojām redzēs savienojuma modeli.
Atslēgas pieder sarunai, nevis maršrutam
Satura atslēgas tiek saskaņotas starp dalībniekiem un paliek viņu ierīcēs; VPN šajā apmaiņā nepiedalās. Lietotnes bieži parāda drošības numuru vai atslēgas nospiedumu, lai abas puses varētu salīdzināt to, kas tām ir. Šis salīdzinājums atklāj vidū aizstātu atslēgu, kas ir vērtīgi un šaurāk nekā pierādīt, kas raksta. Cilvēka identitātes apstiprināšanai joprojām vajadzīgs kanāls ārpus lietotnes, piemēram, zvans vai klātienes pārbaude. VPN servera sertifikāta pārbaude pārbauda pavisam citu galapunktu.
Nelasiet apstiprinātu drošības numuru kā konta īpašumtiesību pierādījumu. Tas ir pierādījums par atslēgām, nevis par cilvēkiem.
Kopijas, metadati un otra ierīce
Lasāms saturs pastāv galos, tāpēc gali izlemj, kas notiks tālāk. Pirms izlemjat, cik ļoti palīdz tunelis, izveidojiet īsu karti vietām, kur kopija var nonākt.
| Point | Can it read the message | Why |
|---|---|---|
| Sending device | Yes | Content exists before encryption |
| VPN gateway | No | Terminates the tunnel, not the app keys |
| App relay | No, by design | Only ciphertext passes through |
| Recipient device | Yes | Holds the conversation keys |
| Cloud backup | Depends on the product | May store plaintext or an encrypted archive |
Izlasiet lietotnes noteikumus par dublējumiem, saistītajām ierīcēm, paziņojumiem un eksportu, jo katrs no tiem ir atsevišķa kopija ar savu apstrādi. Tīkls joprojām atklāj laiku un apjomu pat tad, kad saturs ir aizsargāts, un VPN maina to, kurš pakalpojumu sniedzējs redz vietējo savienojumu, nevis to, vai šādi metadati pastāv. Fails, kas eksportēts no aizsargātas sarunas, saglabā aizsardzību, ko dod tā formāts, un tunelis pēc tam neko tam nedara.
Izvēlieties aizsardzību tam, ko tā aptver: lietotni saturam un atslēgām, VPN maršrutam un vietējā tīkla skatam. Pēc tam uzskaitiet kopijas un ierīces, kas atrodas ārpus abiem.