Hoe je VPN-protocolondersteuning scheidt van vertrouwen in de aanbieder

Er staan twee aanbiedertabbladen open, beide adverteren WireGuard, en de vergelijking is gestrand op één zin: de tunnel is sterk, dus de dienst zal wel in orde zijn. Dat is een verkeerde gevolgtrekking. Het protocol definieert hoe twee peers versleutelen en authenticeren, maar het zegt niets over wie het eindpunt beheert, wat het accountsysteem opslaat, of hoe het bedrijf op een juridisch verzoek reageert. Je moet die vragen scheiden voordat een badge ze voor je beantwoordt.

Wat een protocollabel wel en niet kan certificeren

WireGuard specificeert een handshake gebouwd op Noise, een vaste set moderne primitieven en een routeringsmodel waarin AllowedIPs bepaalt wat de tunnel binnenkomt. Dat zijn echte garanties over berichtformaten en sleuteluitwisseling, en ze zijn het waard om te hebben. Het zijn ook garanties over code, niet over de machine waarop die code draait.

De implementatie laat nog steeds keuzes. Een aanbieder kan de kernelmodule laden of een userspace-build leveren, DNS door de tunnel duwen of het bij de lokale resolver laten, en sleutels volgens zijn eigen schema roteren. Geen van die keuzes verschijnt op het protocollabel, en elk ervan verandert wat de dienst kan waarnemen.

OpenVPN maakt het gat makkelijker te zien. De TLS-handshake en het certificaatmodel kunnen goed of slecht worden geconfigureerd, met of zonder tls-auth, met moderne cijfers of een compatibiliteitsfallback. Twee diensten kunnen allebei OpenVPN zeggen en met heel verschillende blootstelling eindigen. De WireGuard-protocolpagina is precies over de cryptografie en stil over de aanbieder, en dat is precies de grens die je in gedachten moet houden.

Wat alleen de aanbieder kan beantwoorden

Begin bij eigenaarschap. Staat het eindpunt op hardware die de aanbieder beheert, op een gehuurde VPS, of op een vrijwilligersmachine in iemands flat? Het antwoord bepaalt wie een schijf kan kopiëren, wie de kernel patcht en wie een vreemde login opmerkt. Een protocolvergelijking reikt tot niets daarvan.

Daarna komen de account- en betalingsgegevens. Een e-mailadres, een verlengingsmoment, een kaartvingerafdruk en een supportticket leven allemaal buiten de tunnel. Dat geldt ook voor de resolver: als de aanbieder eigen DNS draait, ziet hij namen zelfs wanneer de pagina's HTTPS zijn. Vraag naar bewaring in dagen, niet naar het woord minimaal.

Sorteer de antwoorden in twee kolommen, want ze dragen verschillend gewicht. De ene kolom beschrijft de software; de andere is een belofte die de dienst moet nakomen.

Beloften zijn alleen tegen documenten te controleren. Een aanbieder die zijn bewaartermijn niet kan noemen, onthult geen protocolfout; hij laat je de kwaliteit van zijn administratie zien, en dat is precies wat je probeerde te beoordelen.

Controleer het profiel dat de client werkelijk toepast

De client is de plek waar een abstract profiel routes wordt. Op Linux met wg-quick laat de gestripte configuratie precies zien wat er wordt toegepast, inclusief de DNS- en AllowedIPs-regels die een GUI achter een schakelaar kan verbergen.

sudo wg-quick strip wg0
sudo wg show wg0 latest-handshakes
resolvectl status wg0

Lees de uitvoer als drie afzonderlijke feiten. AllowedIPs van 0.0.0.0/0 betekent dat de hele standaardroute de tunnel in gaat; een DNS-regel betekent dat namen naar de resolver gaan die het profiel noemt; een recente handshake betekent dat de sessie leeft. Een blijvende keepalive vertelt je dat de client een NAT-mapping openhoudt, wat een gedragskeuze is, geen beveiligingscijfer.

Eén voorbehoud is hier belangrijk. Deze commando's controleren de tunnel die je hebt, niet het beleid erachter. Een perfecte handshake bewijst dat de cryptografie werkt; hij bewijst niet dat de verbindingsgegevens van vorige maand zijn gewist, want die gebeurtenis laat geen spoor achter op je machine.

Bewijs dat een marketingpagina overleeft

Vraag om een onafhankelijk auditrapport en lees de reikwijdte vóór het logo. Rapporten noemen de infrastructuur, de periode en de uitzonderingen; veel dekken VPN-servers terwijl ze het accountportaal, de facturering en de supporttools buiten de beoordeling laten. Een audit die de systemen uitsluit die je e-mailadres bewaren, beantwoordt een smallere vraag dan de verkooppagina suggereert.

Lees daarna het privacybeleid op categorieën in plaats van bijvoeglijke naamwoorden. Een bruikbaar beleid noemt wat wordt verzameld, waarom en hoe lang, en het onderscheidt verbindingsmetadata van accountgegevens. Een transparantierapport, als dat bestaat, laat zien of de aanbieder überhaupt een proces voor verzoeken heeft, al zijn de cijfers maar zo goed als de entiteit die ze publiceert.

Open source helpt op de clientlaag en stopt daar. Een leesbare client bewijst wat je apparaat verstuurt; hij bewijst niet wat de server bewaart. Reproduceerbare builds verkleinen het gat tussen gepubliceerde en geleverde code, maar ze beschrijven nog steeds software, geen operaties.

Een korte test met drie documenten filtert de meeste beweringen: een beleid met benoemde categorieën en bewaring, een actuele audit met een vermelde reikwijdte, en een schriftelijk antwoord van support over één concreet scenario. Ontbreekt een van de drie, behandel die specifieke bewering dan als onbevestigd, niet als onwaar.

Waar de grens in de praktijk ligt

Bij een vrijwillig eindpunt, beoordeel de individuele host. De reputatie van het softwareproject gaat niet over op elke machine die het draait, en de persoon die die machine beheert heeft misschien helemaal geen relatie met het project. Commerciële netwerken organiseren verantwoordelijkheid anders, maar ze concentreren die nog steeds in één entiteit.

Zelf hosten draait de vraag om. Je wordt de aanbieder, dus protocolondersteuning is geregeld en vertrouwen wordt je eigen patchen, sleutelbeheer en logbewaring. Dat is voor sommige lezers een legitiem antwoord, geen omweg.

Voor een betaalde dienst maken het contract en de jurisdictie deel uit van het product. Eigendomswisselingen, overnames en lokale openbaarmakingsregels kunnen de verplichtingen van de aanbieder veranderen zonder het protocol aan te raken, en daarom veroudert een vergelijking die bij het specificatieblad stopt.

Schrijf de drie feiten op die je niet op de website kon verifiëren. Stuur ze naar support en bewaar het antwoord. Een concreet antwoord verplaatst de dienst naar een andere categorie, en stilte is ook een antwoord dat in je vergelijking thuishoort.