VPN e encriptação de ponta a ponta: quem pode ler o quê
Uma VPN protege a rota, a aplicação de mensagens protege o conteúdo. Compare a saída, o relé e o destinatário antes de presumir que qualquer um dos dois esconde a mensagem.
Siga uma mensagem de um telemóvel até um amigo e verá que passa por pelo menos dois tipos diferentes de proteção. A VPN cobre a rota entre o cliente e a sua gateway, a aplicação de mensagens cobre o conteúdo entre os dispositivos dos participantes. Nenhuma substitui a outra, e a pergunta útil não é qual é mais forte, mas quem pode ler o quê em cada passo. Percorra o caminho uma vez e os papéis tornam-se evidentes.
Duas proteções, dois extremos
No dispositivo emissor, a aplicação encripta a mensagem com chaves que pertencem à conversa e depois entrega o texto cifrado ao sistema operativo. A VPN, se estiver ativa, envolve todo o tráfego que corresponde à sua política e leva-o até uma gateway. A partir daí o pacote viaja pela internet comum até aos servidores da aplicação, que o reencaminham para o destinatário. Só o dispositivo do destinatário tem a chave que converte o texto cifrado novamente em texto.
Um relé nesse caminho pode ver uma mensagem chegar e sair sem a ler, e é precisamente essa a propriedade que a encriptação de ponta a ponta deve proporcionar.
O que a saída da VPN pode e não pode ler
Uma gateway VPN desencripta o túnel, não o conteúdo da aplicação. Pode observar a que servidor o cliente se ligou, quando e quantos dados circularam, e depois reencaminhar os pacotes. É um conjunto de factos significativo e muito menor do que o texto da mensagem. Num site HTTPS comum, a ligação TLS termina no site, pelo que o site pode ler o que foi submetido mesmo que a VPN não possa. A distinção tem a ver com onde termina cada camada, não com qual produto é mais privado.
Mude o destino para um serviço encriptado de ponta a ponta e o relé no meio perde o conteúdo, enquanto a VPN continua a ver o padrão de ligação.
As chaves pertencem à conversa, não à rota
As chaves de conteúdo são negociadas entre os participantes e ficam nos seus dispositivos; uma VPN não participa nessa troca. As aplicações mostram frequentemente um número de segurança ou uma impressão digital da chave para que ambos os lados comparem o que têm. Essa comparação deteta uma chave substituída no meio, o que é valioso e mais estreito do que provar quem está a escrever. Confirmar a identidade de uma pessoa continua a exigir um canal fora da aplicação, como uma chamada ou uma verificação presencial. A verificação do certificado do servidor de uma VPN autentica um ponto final completamente diferente.
Não leia um número de segurança verificado como prova de propriedade da conta. É evidência sobre chaves, não sobre pessoas.
Cópias, metadados e o outro dispositivo
O conteúdo legível existe nos extremos, por isso são os extremos que decidem o que acontece a seguir. Faça um mapa breve dos locais onde uma cópia pode aterrar antes de decidir quanto ajuda o túnel.
| Point | Can it read the message | Why |
|---|---|---|
| Sending device | Yes | Content exists before encryption |
| VPN gateway | No | Terminates the tunnel, not the app keys |
| App relay | No, by design | Only ciphertext passes through |
| Recipient device | Yes | Holds the conversation keys |
| Cloud backup | Depends on the product | May store plaintext or an encrypted archive |
Leia as regras da aplicação para cópias de segurança, dispositivos associados, notificações e exportações, porque cada uma é uma cópia separada com o seu próprio tratamento. A rede continua a expor o momento e o volume mesmo quando o conteúdo está protegido, e uma VPN muda qual fornecedor vê a ligação local, não se esses metadados existem. Um ficheiro exportado de uma conversa protegida mantém a proteção que o seu formato oferece, e o túnel não faz nada por ele depois.
Escolha a proteção para aquilo que cobre: a aplicação para o conteúdo e as chaves, a VPN para a rota e a visão da rede local. Depois liste as cópias e os dispositivos que ficam fora de ambas.