Mobildata og campus-Wi-Fi: hva en VPN faktisk tilfører

Spør først hvem som ser, og deretter om en tunnel hjelper, for svaret endrer seg helt med observatøren. På mobildata er den interessante observatøren operatøren; på campus-Wi-Fi er det nettverket du nettopp koblet til. Det er forskjellige posisjoner med ulik synlighet, og én tunnel kan ikke forbedre begge på samme måte. Mesteparten av forvirringen kommer av å behandle en VPN som en egenskap ved enheten i stedet for en endring i hvem som kan se hva. Gå gjennom hoppene ett om gangen, og beslutningen tar seg som regel selv.

Hva radioleddet skjuler, og hva det ikke skjuler

Radiokryptering har en dårlig historie i sine tidlige generasjoner, og de senere er sterkere uten å bli usynlige. GSM A5-familien ble brutt for år siden, og for tredjegenerasjonsalgoritmene er det publisert praktiske angrep. Det som overlever alt dette, er metadata: hvilken celle, når, hvor mye og hvilke adresser. Send trafikken gjennom en tunnel, og operatøren mister destinasjonene mens tunneloperatøren får dem; en handel som er verdt det mot en nysgjerrig operatør og verdiløs mot en som lagrer og selger oppføringer.

Operatøren er heller ikke den eneste parten på den veien: en roamingavtale legger til et annet nettverk som kan observere de samme metadataene, og tunnelens utgang blir stedet der alt dette samles.

HTTPS dekker allerede det meste

Nesten alt folk gjør på en telefon, er allerede inne i TLS: webmail, bank, meldinger, de fleste applikasjoner. En tunnel styrker ikke dette, og når den leverer resolveren, kan den se navn som TLS ellers ville ha skjult. Det TLS lar stå utenfor, er destinasjonsmønsteret, enhver eldre protokoll med klartekst og samtalens timing og volum.

Nettopp den resten er det en VPN endrer, og derfor betyr den mer på en delt Wi-Fi-lenke enn på en lenke som allerede er kryptert per hopp. Det er også derfor en bankside over mobildata ikke trenger en tunnel: sertifikatet og klienten håndterer allerede den trusselen.

Campus-VPN-en er et tilgangsverktøy

Universiteter kjører en VPN for å plassere deg inne i sitt eget nettverk, og det er det riktige svaret for et lisensiert tidsskrift, en avdelingsdeling, en laboratoriemaskin eller en tjeneste som perimeteret blokkerer. Det er ikke et personvernverktøy, og en full tunnel gjør universitetet til observatør av alt du gjør, inkludert nettsteder som ikke har noe med studiene å gjøre. Når målet er å hindre campus i å se destinasjonene dine, er bruk av campus-VPN-en nøyaktig bakvendt.

Retningslinjene for akseptabel bruk hører til mekanismen og ikke til fotnotene. Å nå en lisensiert ressurs gjennom campus-tunnelen er det den er til for; å bruke en kommersiell tunnel for å omgå et campusfilter er vanligvis et brudd, uansett om det virker. De to setningene avgjør de fleste virkelige sakene uten noen mening om leverandører.

Bestem med tre spørsmål

Tre spørsmål gjenstår: hvem er observatøren du bryr deg om, hva er allerede kryptert ende-til-ende, og hva tillater retningslinjene. Svar på dem skriftlig, for svarene er korte, og de er den delen som endrer seg senere.

Velg deretter tunnelens form ut fra disse svarene og ikke av vane. Hvis én tunnel er for private ressurser og en annen instinkt er for vanlig nettlesing, hold dem atskilt i stedet for å be én klient gjøre begge deler dårlig. Delt tunnellering er et legitimt design og ikke et kompromiss, så lenge rutingen er skrevet ned og du vet hvilken trafikk som tar hvilken vei. Feilen som må unngås, er klienten som rapporterer tilkoblet mens den bare sender utvalgte prefikser, uten at noen merker hvilket tilfelle de er i.

Test begge veier, og beskriv dem ærlig

Etter tilkobling tester du én privat ressurs og ett vanlig nettsted, og observerer utgangsadressen i hver ende. Den ene testen skiller en fungerende delt tunnel fra en full tunnel, og det er den eneste dekningspåstanden du kan komme med uten å gjette.

Skriv de to resultatene i saken. En setning som den er verdt mer enn noen uttalelse om hvorvidt VPN-en er verdt det, fordi den navngir veiene i stedet for produktet.