VPN en end-to-end-versleuteling: wie kan wat lezen

Volg één bericht van een telefoon naar een vriend en het passeert minstens twee verschillende soorten bescherming. De VPN dekt de route tussen de client en zijn gateway, de berichtenapp dekt de inhoud tussen de apparaten van de deelnemers. Geen van beide vervangt de ander, en de nuttige vraag is niet welke sterker is, maar wie bij elke stap wat kan lezen. Loop de route één keer en de rollen worden duidelijk.

Twee beschermingen, twee uiteinden

Op het verzendende apparaat versleutelt de app het bericht met sleutels die bij het gesprek horen en geeft de cijfertekst vervolgens aan het besturingssysteem. De VPN, als die actief is, verpakt al het verkeer dat aan zijn beleid voldoet en brengt het naar een gateway. Van daaruit reist het pakket over het gewone internet naar de servers van de app, die het naar de ontvanger doorsturen. Alleen het apparaat van de ontvanger heeft de sleutel die de cijfertekst weer in tekst verandert.

Een relay op die route kan een bericht zien aankomen en vertrekken zonder het te lezen, en dat is precies de eigenschap die end-to-end-versleuteling moet bieden.

Wat de VPN-uitgang kan en niet kan lezen

Een VPN-gateway ontsleutelt de tunnel, niet de inhoud van de app. Hij kan waarnemen welke server de client heeft benaderd, wanneer, en hoeveel data er is verplaatst, en daarna de pakketten doorsturen. Dat is een betekenisvolle verzameling feiten en een veel kleinere verzameling dan de tekst van het bericht. Bij een gewone HTTPS-site eindigt de TLS-verbinding bij de site, dus de site kan lezen wat er is ingediend, ook als de VPN dat niet kan. Het verschil gaat over waar elke laag eindigt, niet over welk product privater is.

Verander de bestemming in een end-to-end versleutelde dienst en de relay in het midden verliest de inhoud, terwijl de VPN het verbindingspatroon nog steeds ziet.

Sleutels horen bij het gesprek, niet bij de route

Inhoudssleutels worden tussen deelnemers onderhandeld en blijven op hun apparaten; een VPN neemt geen deel aan die uitwisseling. Apps tonen vaak een veiligheidsnummer of een sleutelvingerafdruk zodat beide partijen kunnen vergelijken wat ze hebben. Die vergelijking ontdekt een vervangen sleutel in het midden, wat waardevol is en smaller dan bewijzen wie er typt. Het bevestigen van iemands identiteit vereist nog steeds een kanaal buiten de app, zoals een gesprek of een controle in persoon. De servercertificaatscontrole van een VPN verifieert een heel ander eindpunt.

Lees een geverifieerd veiligheidsnummer niet als bewijs van accounteigendom. Het is bewijs over sleutels, niet over mensen.

Kopieën, metadata en het andere apparaat

Leesbare inhoud bestaat aan de uiteinden, dus de uiteinden bepalen wat er daarna gebeurt. Maak een korte kaart van de plekken waar een kopie kan landen voordat je besluit hoeveel de tunnel helpt.

Lees de regels van de app voor back-ups, gekoppelde apparaten, meldingen en exports, want elk daarvan is een aparte kopie met zijn eigen behandeling. Het netwerk geeft nog steeds timing en volume prijs, zelfs wanneer de inhoud is beschermd, en een VPN verandert welke provider de lokale verbinding ziet, niet of zulke metadata bestaan. Een bestand dat uit een beschermd gesprek wordt geëxporteerd, behoudt de bescherming die het formaat biedt, en de tunnel doet daarna niets meer voor het bestand.

Kies de bescherming voor wat zij dekt: de app voor inhoud en sleutels, de VPN voor de route en het zicht op het lokale netwerk. Maak daarna een lijst van de kopieën en apparaten die buiten beide vallen.