Dados móveis e Wi-Fi do campus: o que uma VPN realmente acrescenta

Pergunte primeiro quem observa e só depois se um túnel ajuda, porque a resposta muda completamente com o observador. Nos dados móveis o observador interessante é a operadora; no Wi-Fi do campus é a rede a que acabou de se ligar. São posições diferentes com visibilidades diferentes, e um único túnel não pode melhorar as duas da mesma forma. A maior parte da confusão vem de tratar uma VPN como propriedade do dispositivo em vez de uma mudança em quem pode ver o quê. Percorra os saltos um a um e a decisão normalmente toma-se sozinha.

O que o salto de rádio esconde e o que não esconde

A cifra do rádio tem um histórico fraco nas suas primeiras gerações, e as seguintes são mais fortes sem se tornarem invisíveis. A família GSM A5 foi quebrada há anos, e para os algoritmos de terceira geração há ataques práticos publicados. O que sobrevive a tudo isso são os metadados: que célula, quando, quanto e que endereços. Faça passar o tráfego por um túnel e a operadora perde os destinos enquanto o operador do túnel os ganha, uma troca que vale a pena contra uma operadora curiosa e não vale nada contra uma que guarda e vende registos.

A operadora também não é a única parte nesse caminho: um acordo de roaming acrescenta outra rede que pode observar os mesmos metadados, e a saída do túnel torna-se o local onde tudo isso se recolhe.

O HTTPS já cobre a maior parte

Quase tudo o que as pessoas fazem num telemóvel já está dentro do TLS: correio web, banca, mensagens, a maioria das aplicações. Um túnel não reforça isso, e quando fornece o resolutor pode ver nomes que o TLS teria escondido. O que o TLS deixa de fora é o padrão dos destinos, qualquer protocolo antigo em texto simples e o momento e o volume da conversa.

É exatamente esse resíduo que uma VPN altera, e por isso importa mais numa ligação Wi-Fi partilhada do que numa ligação já cifrada salto a salto. Também é por isso que um site bancário em dados móveis não precisa de túnel: o certificado e o cliente já tratam dessa ameaça.

A VPN do campus é uma ferramenta de acesso

As universidades mantêm uma VPN para o colocar dentro da sua própria rede, e essa é a resposta correta para uma revista licenciada, uma partilha de departamento, uma máquina de laboratório ou um serviço que o perímetro bloqueia. Não é uma ferramenta de privacidade, e um túnel completo torna a universidade observadora de tudo o que faz, incluindo sites que nada têm a ver com os estudos. Quando o objetivo é impedir o campus de ver os seus destinos, usar a VPN do campus vai exatamente ao contrário.

A política de uso aceitável pertence ao mecanismo e não às notas de rodapé. Chegar a um recurso licenciado pelo túnel do campus é para isso que serve; usar um túnel comercial para contornar um filtro do campus é normalmente uma violação, funcione ou não. Essas duas frases resolvem a maioria dos casos reais sem qualquer opinião sobre fornecedores.

Decida com três perguntas

Restam três perguntas: quem é o observador que lhe importa, o que já está cifrado de ponta a ponta e o que a política permite. Responda por escrito, porque as respostas são curtas e são a parte que muda depois.

Depois escolha a forma do túnel a partir dessas respostas e não do hábito. Se um túnel é para recursos privados e outro instinto é para a navegação comum, mantenha-os separados em vez de pedir a um único cliente que faça as duas coisas mal. O túnel dividido é um desenho legítimo e não um compromisso, desde que o encaminhamento esteja escrito e saiba que tráfego segue que caminho. A falha a evitar é o cliente que declara estar ligado enquanto envia apenas prefixos selecionados, sem que ninguém note em que caso estão.

Teste os dois caminhos e depois descreva-os com honestidade

Depois de ligar, teste um recurso privado e um site comum, e observe o endereço de saída em cada extremidade. Esse único teste separa um túnel dividido funcional de um túnel completo, e é a única afirmação de cobertura que pode fazer sem adivinhar.

Escreva os dois resultados no ticket. Uma frase assim vale mais do que qualquer declaração sobre se a VPN compensa, porque nomeia os caminhos em vez do produto.