VPN și criptare de la un capăt la altul: cine poate citi ce
Un VPN protejează ruta, aplicația de mesagerie protejează conținutul. Comparați ieșirea, releul și destinatarul înainte de a presupune că oricare dintre ele ascunde mesajul.
Urmați un mesaj de la un telefon până la un prieten și veți vedea că trece prin cel puțin două tipuri diferite de protecție. VPN-ul acoperă ruta dintre client și gateway-ul său, aplicația de mesagerie acoperă conținutul dintre dispozitivele participanților. Niciuna nu o înlocuiește pe cealaltă, iar întrebarea utilă nu este care este mai puternică, ci cine poate citi ce la fiecare pas. Parcurgeți drumul o dată și rolurile devin evidente.
Două protecții, două capete
Pe dispozitivul expeditor, aplicația criptează mesajul cu chei care aparțin conversației, apoi predă textul cifrat sistemului de operare. VPN-ul, dacă este activ, împachetează tot traficul care corespunde politicii sale și îl duce la un gateway. De acolo pachetul călătorește prin internetul obișnuit până la serverele aplicației, care îl retransmit către destinatar. Doar dispozitivul destinatarului deține cheia care transformă textul cifrat înapoi în text.
Un releu de pe acea rută poate vedea un mesaj sosind și plecând fără să îl citească, și exact această proprietate trebuie să o ofere criptarea de la un capăt la altul.
Ce poate și ce nu poate citi ieșirea VPN
Un gateway VPN decriptează tunelul, nu conținutul aplicației. Poate observa cărui server i s-a adresat clientul, când și câți octeți s-au mișcat, apoi poate retransmite pachetele. Este un set de fapte semnificativ și un set mult mai mic decât textul mesajului. Pe un site HTTPS obișnuit, conexiunea TLS se termină la site, așa că site-ul poate citi ce a fost trimis chiar dacă VPN-ul nu poate. Distincția privește unde se termină fiecare strat, nu care produs este mai privat.
Schimbați destinația într-un serviciu criptat de la un capăt la altul și releul din mijloc pierde conținutul, în timp ce VPN-ul vede în continuare modelul conexiunii.
Cheile aparțin conversației, nu rutei
Cheile de conținut sunt negociate între participanți și rămân pe dispozitivele lor; un VPN nu ia parte la acel schimb. Aplicațiile afișează adesea un număr de siguranță sau o amprentă a cheii, pentru ca ambele părți să compare ce au. Acea comparație detectează o cheie substituită la mijloc, ceea ce este valoros și mai îngust decât a dovedi cine tastează. Confirmarea identității unei persoane necesită în continuare un canal din afara aplicației, cum ar fi un apel sau o verificare față în față. Verificarea certificatului de server al unui VPN autentifică un punct final complet diferit.
Nu citiți un număr de siguranță verificat ca dovadă a proprietății contului. Este o dovadă despre chei, nu despre oameni.
Copii, metadate și celălalt dispozitiv
Conținutul lizibil există la cele două capete, așa că extremitățile decid ce se întâmplă în continuare. Faceți o hartă scurtă a locurilor unde poate ajunge o copie înainte de a decide cât de mult ajută tunelul.
| Point | Can it read the message | Why |
|---|---|---|
| Sending device | Yes | Content exists before encryption |
| VPN gateway | No | Terminates the tunnel, not the app keys |
| App relay | No, by design | Only ciphertext passes through |
| Recipient device | Yes | Holds the conversation keys |
| Cloud backup | Depends on the product | May store plaintext or an encrypted archive |
Citiți regulile aplicației pentru copii de rezervă, dispozitive conectate, notificări și exporturi, deoarece fiecare este o copie separată cu propriul tratament. Rețeaua expune în continuare momentul și volumul chiar și atunci când conținutul este protejat, iar un VPN schimbă care furnizor vede conexiunea locală, nu dacă astfel de metadate există. Un fișier exportat dintr-o conversație protejată păstrează protecția oferită de formatul său, iar tunelul nu mai face nimic pentru el după aceea.
Alegeți protecția pentru ceea ce acoperă: aplicația pentru conținut și chei, VPN-ul pentru rută și vederea rețelei locale. Apoi enumerați copiile și dispozitivele care rămân în afara ambelor.