Mobiele data en campus-wifi: wat een VPN echt toevoegt

Vraag eerst wie meekijkt en pas daarna of een tunnel helpt, want het antwoord verandert volledig met de waarnemer. Op mobiele data is de interessante waarnemer de provider; op campus-wifi is dat het netwerk waar je net verbinding mee maakte. Dat zijn verschillende posities met verschillende zichtbaarheid, en één tunnel kan beide niet op dezelfde manier verbeteren. De meeste verwarring komt doordat een VPN als eigenschap van het apparaat wordt gezien in plaats van als verandering in wie wat kan zien. Loop de sprongen één voor één na en de beslissing wijst zich meestal vanzelf.

Wat de radiosprong verbergt en wat niet

Radio-encryptie heeft een slechte reputatie in de vroege generaties, en de latere zijn sterker zonder onzichtbaar te worden. De GSM A5-familie is jaren geleden gebroken, en voor de algoritmen van de derde generatie zijn praktische aanvallen gepubliceerd. Wat dat allemaal overleeft, zijn metadata: welke cel, wanneer, hoeveel en welke adressen. Leid verkeer door een tunnel en de provider verliest de bestemmingen terwijl de tunneloperator ze wint, een ruil die de moeite waard is tegen een nieuwsgierige provider en waardeloos tegen een die gegevens bewaart en verkoopt.

De provider is ook niet de enige partij op dat pad: een roamingovereenkomst voegt een ander netwerk toe dat dezelfde metadata kan observeren, en de uitgang van de tunnel wordt de plek waar dat alles samenkomt.

HTTPS dekt het meeste al

Bijna alles wat mensen op een telefoon doen, zit al in TLS: webmail, bankieren, berichten, de meeste apps. Een tunnel versterkt dat niet, en wanneer hij de resolver levert, kan hij namen zien die TLS anders zou hebben verborgen. Wat TLS buiten laat, is het patroon van bestemmingen, elk oud protocol met platte tekst en de timing en het volume van het gesprek.

Precies dat restant is wat een VPN verandert, en daarom telt het meer op een gedeelde wifiverbinding dan op een verbinding die al per sprong versleuteld is. Daarom heeft een banksite via mobiele data geen tunnel nodig: het certificaat en de client pakken die dreiging al aan.

De campus-VPN is een toegangsmiddel

Universiteiten draaien een VPN om je binnen hun eigen netwerk te plaatsen, en dat is het juiste antwoord voor een gelicentieerd tijdschrift, een afdelingsshare, een laboratoriummachine of een dienst die de perimeter blokkeert. Het is geen privacyhulpmiddel, en een volledige tunnel maakt de universiteit de waarnemer van alles wat je doet, inclusief sites die niets met je studie te maken hebben. Als het doel is te voorkomen dat de campus je bestemmingen ziet, is het gebruik van de campus-VPN precies verkeerd om.

Het acceptabel-gebruikbeleid hoort bij het mechanisme en niet bij de voetnoten. Een gelicentieerde bron bereiken via de campustunnel is waarvoor die dient; een commerciële tunnel gebruiken om een campusfilter te omzeilen is meestal een overtreding, of het werkt of niet. Die twee zinnen beslechten de meeste echte gevallen zonder enige mening over leveranciers.

Beslis met drie vragen

Er blijven drie vragen: wie is de waarnemer die je belangrijk vindt, wat is al end-to-end versleuteld en wat staat het beleid toe. Beantwoord ze schriftelijk, want de antwoorden zijn kort en dat is het deel dat later verandert.

Kies daarna de vorm van de tunnel op basis van die antwoorden en niet uit gewoonte. Als de ene tunnel voor privéresources is en een ander instinct voor gewoon browsen, houd ze gescheiden in plaats van één client beide slecht te laten doen. Gesplitst tunnelen is een legitiem ontwerp en geen compromis, zolang de routing is opgeschreven en je weet welk verkeer welke route neemt. De fout die je moet vermijden is de client die verbonden meldt terwijl hij alleen geselecteerde prefixen verstuurt, zonder dat iemand merkt in welk geval ze zitten.

Test beide paden en beschrijf ze eerlijk

Test na het verbinden één privéresource en één gewone website, en kijk naar het uitgangsadres aan beide uiteinden. Die ene test scheidt een werkende gesplitste tunnel van een volledige tunnel, en het is de enige dekkingsclaim die je kunt doen zonder te gokken.

Schrijf de twee resultaten in het ticket. Zo'n zin is meer waard dan welke uitspraak dan ook over of de VPN het waard is, omdat hij de paden noemt in plaats van het product.