Mobildata og campus-Wi-Fi: kva eit VPN faktisk legg til

Spør først kven som ser, og deretter om ein tunnel hjelper, for svaret endrar seg heilt med observatøren. På mobildata er den interessante observatøren operatøren; på campus-Wi-Fi er det nettet du nettopp kopla til. Det er ulike posisjonar med ulik synlegheit, og ein tunnel kan ikkje betra begge på same måte. Mesteparten av forvirringa kjem av å handsame eit VPN som ein eigenskap ved eininga i staden for ei endring i kven som kan sjå kva. Gå gjennom hoppa eitt om gongen, og avgjerda tek seg som regel sjølv.

Kva radioleddet skjuler, og kva det ikkje skjuler

Radiokryptering har ei dårleg historie i dei tidlege generasjonane, og dei seinare er sterkare utan å bli usynlege. GSM A5-familien vart broten for år sidan, og for algoritmane i tredje generasjon er det publisert praktiske åtak. Det som overlever alt dette, er metadata: kva celle, når, kor mykje og kva adresser. Send trafikken gjennom ein tunnel, og operatøren mistar måla medan tunneloperatøren får dei; ein handel som er verdt det mot ein nysgjerrig operatør og verdilaus mot ein som lagrar og sel oppføringar.

Operatøren er heller ikkje den einaste parten på den vegen: ein roamingavtale legg til eit anna nett som kan observere dei same metadataa, og utgangen av tunnelen vert staden der alt dette samlar seg.

HTTPS dekkjer allereie det meste

Nesten alt folk gjer på ein telefon, er allereie inne i TLS: webmail, bank, meldingar, dei fleste appane. Ein tunnel styrkjer ikkje dette, og når han leverer resolvaren, kan han sjå namn som TLS elles ville ha skjult. Det TLS lèt stå utanfor, er mønsteret av mål, kva som helst eldre protokoll med klartekst og timingen og volumet i samtalen.

Nettopp den resten er det eit VPN endrar, og difor tel det meir på ei delt Wi-Fi-lenke enn på ei lenke som allereie er kryptert per hopp. Det er også difor ei bankside over mobildata ikkje treng ein tunnel: sertifikatet og klienten handterer allereie den trugselen.

Campus-VPN-en er eit tilgangsverktøy

Universitet køyrer eit VPN for å plassere deg inne i sitt eige nett, og det er det rette svaret for eit lisensiert tidsskrift, ei avdelingsdeling, ein laboratoriemaskin eller ei teneste som perimetersperra blokkerer. Det er ikkje eit personvernverktøy, og ein full tunnel gjer universitetet til observatør av alt du gjer, inkludert nettstader som ikkje har noko med studia å gjere. Når målet er å hindre campus i å sjå måla dine, er bruk av campus-VPN-en nøyaktig bakvendt.

Retningslinjene for akseptabel bruk høyrer til mekanismen og ikkje til fotnotane. Å nå ein lisensiert ressurs gjennom campustunnelen er det han er til for; å bruke ein kommersiell tunnel for å omgå eit campusfilter er vanlegvis eit brot, same om det verkar. Dei to setningane avgjer dei fleste verkelege sakene utan noka meining om leverandørar.

Avgjer med tre spørsmål

Tre spørsmål står att: kven er observatøren du bryr deg om, kva er allereie kryptert ende-til-ende, og kva tillet retningslinjene. Svar på dei skriftleg, for svara er korte, og dei er den delen som endrar seg seinare.

Vel deretter forma på tunnelen ut frå desse svara og ikkje av vane. Viss ein tunnel er for private ressursar og ein annan instinkt for vanleg nettlesing, hald dei skilde i staden for å be ein klient gjere begge delar dårleg. Delt tunnelering er eit legitimt design og ikkje eit kompromiss, så lenge rutinga er skriven ned og du veit kva trafikk som tek kva veg. Feilen som må unnvikast, er klienten som rapporterer tilkopla medan han berre sender utvalde prefiks, utan at nokon legg merke til kva tilfelle dei er i.

Test begge vegar, og skildre dei ærleg

Etter tilkopling testar du éin privat ressurs og ein vanleg nettstad, og observerer utgangsadressa i kvar ende. Den eine testen skil ein fungerande delt tunnel frå ein full tunnel, og det er den einaste dekningspåstanden du kan kome med utan å gjette.

Skriv dei to resultata i saka. Ei setning som den er verdt meir enn noko utsegn om korvidt VPN-en er verdt det, fordi ho nemner vegane i staden for produktet.