Como separar o suporte a protocolos VPN da confiança no operador

Há dois separadores de fornecedores abertos, ambos anunciam WireGuard, e a comparação parou numa frase: o túnel é forte, logo o serviço deve estar bem. Essa inferência está errada. O protocolo define como dois pares cifram e autenticam, mas não diz nada sobre quem opera o ponto final, o que o sistema de contas guarda ou como a empresa responde a um pedido legal. É preciso separar essas perguntas antes de um selo as responder por você.

O que uma etiqueta de protocolo pode e não pode certificar

O WireGuard especifica um handshake construído sobre Noise, um conjunto fixo de primitivas modernas e um modelo de encaminhamento em que AllowedIPs decide o que entra no túnel. São garantias reais sobre formatos de mensagem e troca de chaves, e vale a pena tê-las. Também são garantias sobre o código, não sobre a máquina em que esse código corre.

A implementação continua a deixar escolhas. Um fornecedor pode carregar o módulo do núcleo ou distribuir uma compilação em espaço de utilizador, empurrar o DNS pelo túnel ou deixá-lo no resolvedor local, e rodar chaves segundo o seu próprio calendário. Nenhuma dessas escolhas aparece no rótulo do protocolo, e cada uma muda o que o serviço pode observar.

OpenVPN torna a lacuna mais fácil de ver. O seu handshake TLS e o seu modelo de certificados podem ser configurados bem ou mal, com ou sem tls-auth, com cifras modernas ou com uma alternativa de compatibilidade. Dois serviços podem ambos dizer OpenVPN e acabar com uma exposição muito diferente. A página do protocolo WireGuard é precisa sobre a criptografia e silenciosa sobre o operador, e é exatamente essa a fronteira que convém ter presente.

O que só o operador pode responder

Comece pela propriedade. O ponto final está em hardware que o fornecedor controla, num VPS alugado ou numa máquina voluntária no apartamento de alguém? A resposta decide quem pode copiar um disco, quem aplica correções ao núcleo e quem nota um início de sessão estranho. Uma comparação de protocolos não chega a nada disso.

Depois vêm os registos de conta e de pagamento. Um endereço de e-mail, uma marca temporal de renovação, uma impressão digital de cartão e um ticket de suporte vivem todos fora do túnel. Também o resolvedor: se o fornecedor gere o seu próprio DNS, vê nomes mesmo quando as páginas estão em HTTPS. Peça retenção em dias, não a palavra mínimo.

Ordene as respostas em duas colunas, porque têm peso diferente. Uma coluna descreve o software; a outra é uma promessa que o serviço tem de cumprir.

As promessas só se podem verificar contra documentos. Um fornecedor que não sabe indicar o seu período de retenção não está a revelar um defeito do protocolo; está a mostrar-lhe a qualidade dos seus registos, e é justamente isso que tentava julgar.

Verifique o perfil que o cliente aplica de facto

O cliente é o lugar onde um perfil abstrato se torna rotas. Em Linux com wg-quick, a configuração despida mostra exatamente o que será aplicado, incluindo as linhas de DNS e AllowedIPs que uma interface gráfica pode esconder atrás de um interruptor.

sudo wg-quick strip wg0
sudo wg show wg0 latest-handshakes
resolvectl status wg0

Leia a saída como três factos separados. AllowedIPs de 0.0.0.0/0 significa que toda a rota predefinida entra no túnel; uma linha DNS significa que os nomes vão para o resolvedor que o perfil nomeia; um handshake recente significa que a sessão está viva. Um keepalive persistente diz-lhe que o cliente mantém aberta uma atribuição NAT, o que é uma escolha de comportamento, não uma classificação de segurança.

Aqui importa uma ressalva. Estes comandos verificam o túnel que tem, não a política que está por trás dele. Um handshake perfeito prova que a criptografia funciona; não prova que os registos de ligação do mês passado foram apagados, porque esse acontecimento não deixa vestígio na sua máquina.

Provas que sobrevivem a uma página de marketing

Peça um relatório de auditoria independente e leia o seu âmbito antes do logótipo. Os relatórios nomeiam a infraestrutura, o período e as exceções; muitos cobrem os servidores VPN mas deixam o portal de conta, a faturação e as ferramentas de suporte fora da revisão. Uma auditoria que exclui os sistemas que guardam o seu endereço de e-mail responde a uma pergunta mais estreita do que a página de vendas insinua.

Depois leia a política de privacidade por categorias e não por adjetivos. Uma política útil nomeia o que é recolhido, porquê e durante quanto tempo, e distingue os metadados de ligação dos dados de conta. Um relatório de transparência, se existir, mostra se o fornecedor tem sequer um processo para pedidos, embora os seus números valham apenas o que valer a entidade que os publica.

O código aberto ajuda na camada do cliente e para aí. Um cliente legível prova o que o seu dispositivo envia; não prova o que o servidor guarda. As compilações reproduzíveis estreitam a lacuna entre o código publicado e o entregue, mas continuam a descrever software, não operações.

Um teste curto de três documentos filtra a maioria das afirmações: uma política com categorias nomeadas e retenção, uma auditoria atual com um âmbito declarado e uma resposta escrita do suporte sobre um cenário concreto. Se faltar qualquer um dos três, trate essa afirmação concreta como não verificada, não como falsa.

Onde está a linha na prática

Com um ponto final voluntário, julgue o anfitrião individual. A reputação do projeto de software não passa para cada máquina que o executa, e a pessoa que opera essa máquina pode não ter qualquer relação com o projeto. As redes comerciais organizam a responsabilidade de outra forma, mas continuam a concentrá-la numa única entidade.

O alojamento próprio inverte a pergunta. Você torna-se o operador, pelo que o suporte do protocolo fica resolvido e a confiança passa a ser a sua própria aplicação de correções, a sua gestão de chaves e a sua retenção de registos. É uma resposta legítima para alguns leitores, não uma evasiva.

Num serviço pago, o contrato e a jurisdição fazem parte do produto. Mudanças de propriedade, aquisições e regras locais de divulgação podem alterar as obrigações do operador sem tocar no protocolo, e é por isso que uma comparação que para na folha de especificações fica desatualizada.

Anote os três factos que não conseguiu verificar no site. Envie-os ao suporte e guarde a resposta. Uma resposta concreta muda o serviço de categoria, e o silêncio também é uma resposta que pertence à sua comparação.