VPN dan penyulitan hujung ke hujung: siapa boleh baca apa
VPN melindungi laluan, aplikasi pemesejan melindungi kandungan. Bandingkan pintu keluar, geganti dan penerima sebelum menganggap mana-mana satu menyembunyikan mesej.
Ikuti satu mesej dari telefon ke seorang rakan dan ia melalui sekurang-kurangnya dua jenis perlindungan yang berbeza. VPN meliputi laluan antara klien dan gatewaynya, aplikasi pemesejan meliputi kandungan antara peranti peserta. Kedua-duanya tidak menggantikan satu sama lain, dan soalan yang berguna bukanlah mana yang lebih kuat, tetapi siapa boleh membaca apa pada setiap langkah. Ikuti laluan itu sekali dan peranannya menjadi jelas.
Dua perlindungan, dua hujung
Pada peranti penghantar, aplikasi menyulitkan mesej dengan kunci milik perbualan, kemudian menyerahkan teks sifer kepada sistem pengendalian. VPN, jika aktif, membalut semua trafik yang sepadan dengan dasarnya dan membawanya ke gateway. Dari situ paket bergerak melalui internet biasa ke pelayan aplikasi, yang menggegantikannya ke arah penerima. Hanya peranti penerima menyimpan kunci yang mengubah teks sifer kembali menjadi teks.
Geganti pada laluan itu boleh melihat mesej datang dan pergi tanpa membacanya, dan itulah sifat yang sepatutnya diberikan oleh penyulitan hujung ke hujung.
Apa yang boleh dan tidak boleh dibaca pintu keluar VPN
Gateway VPN menyahsulit terowong, bukan kandungan aplikasi. Ia boleh memerhati pelayan mana yang dihubungi klien, bila, dan berapa banyak data bergerak, kemudian meneruskan paket. Itu satu set fakta yang bermakna dan jauh lebih kecil daripada teks mesej. Pada laman HTTPS biasa, sambungan TLS berakhir di laman, jadi laman boleh membaca apa yang dihantar walaupun VPN tidak boleh. Perbezaannya ialah tentang di mana setiap lapisan berakhir, bukan tentang produk mana yang lebih peribadi.
Tukar destinasi kepada perkhidmatan yang disulitkan hujung ke hujung dan geganti di tengah kehilangan kandungan, manakala VPN masih melihat corak sambungan.
Kunci milik perbualan, bukan laluan
Kunci kandungan dirunding antara peserta dan kekal pada peranti mereka; VPN tidak mengambil bahagian dalam pertukaran itu. Aplikasi sering memaparkan nombor keselamatan atau cap jari kunci supaya kedua-dua pihak boleh membandingkan apa yang mereka ada. Perbandingan itu mengesan kunci yang diganti di tengah, yang bernilai dan lebih sempit daripada membuktikan siapa yang menaip. Mengesahkan identiti seseorang masih memerlukan saluran di luar aplikasi, seperti panggilan atau pemeriksaan bersemuka. Pemeriksaan sijil pelayan VPN mengesahkan titik akhir yang sama sekali berbeza.
Jangan baca nombor keselamatan yang disahkan sebagai bukti pemilikan akaun. Ia bukti tentang kunci, bukan tentang orang.
Salinan, metadata dan peranti lain
Kandungan yang boleh dibaca wujud di kedua-dua hujung, jadi hujungnya yang menentukan apa yang berlaku seterusnya. Buat peta ringkas tempat salinan boleh mendarat sebelum memutuskan berapa banyak terowong membantu.
| Point | Can it read the message | Why |
|---|---|---|
| Sending device | Yes | Content exists before encryption |
| VPN gateway | No | Terminates the tunnel, not the app keys |
| App relay | No, by design | Only ciphertext passes through |
| Recipient device | Yes | Holds the conversation keys |
| Cloud backup | Depends on the product | May store plaintext or an encrypted archive |
Baca peraturan aplikasi untuk sandaran, peranti berpaut, pemberitahuan dan eksport, kerana setiap satu ialah salinan berasingan dengan pengendaliannya sendiri. Rangkaian masih mendedahkan masa dan isipadu walaupun kandungan dilindungi, dan VPN mengubah penyedia mana yang melihat sambungan tempatan, bukan sama ada metadata itu wujud. Fail yang dieksport daripada perbualan terlindung mengekalkan perlindungan yang diberikan oleh formatnya, dan terowong tidak melakukan apa-apa untuknya selepas itu.
Pilih perlindungan untuk apa yang diliputinya: aplikasi untuk kandungan dan kunci, VPN untuk laluan dan pandangan rangkaian tempatan. Kemudian senaraikan salinan dan peranti yang berada di luar kedua-duanya.