VPN i end-to-end enkripcija: ko šta može pročitati

Pratite jednu poruku od telefona do prijatelja i ona prolazi kroz najmanje dve različite vrste zaštite. VPN pokriva rutu između klijenta i njegovog pristupnika, a aplikacija za razmenu poruka pokriva sadržaj između uređaja učesnika. Nijedno ne zamenjuje drugo, a korisno pitanje nije koje je jače, nego ko šta može pročitati na svakom koraku. Prođite taj put jednom i uloge postaju očigledne.

Dve zaštite, dva kraja

Na uređaju pošiljaoca aplikacija šifruje poruku ključevima koji pripadaju razgovoru, a zatim predaje šifrat operativnom sistemu. VPN, ako je aktivan, umotava sav saobraćaj koji odgovara njegovoj politici i nosi ga do pristupnika. Odatle paket putuje običnim internetom do servera aplikacije, koji ga prosleđuju prema primaocu. Samo uređaj primaoca drži ključ koji šifrat pretvara natrag u tekst.

Relej na tom putu može gledati kako poruka dolazi i odlazi, a da je ne čita, i upravo to svojstvo end-to-end enkripcija treba da pruži.

Šta VPN izlaz može, a šta ne može pročitati

VPN pristupnik dešifruje tunel, ne sadržaj aplikacije. On može primetiti kojem je serveru klijent pristupio, kada i koliko se podataka prenelo, a zatim proslediti pakete dalje. To je značajan skup činjenica i mnogo manji skup od teksta poruke. Za običnu HTTPS stranicu TLS veza završava na stranici, pa stranica može pročitati šta je poslato čak i kada VPN ne može. Razlika je u tome gde svaki sloj završava, a ne u tome koji je proizvod privatniji.

Promenite odredište na uslugu sa end-to-end enkripcijom i relej u sredini gubi sadržaj, dok VPN i dalje vidi obrazac veze.

Ključevi pripadaju razgovoru, ne ruti

Ključevi sadržaja dogovaraju se među učesnicima i ostaju na njihovim uređajima; VPN ne učestvuje u toj razmeni. Aplikacije često prikazuju sigurnosni broj ili otisak ključa kako bi obe strane mogle uporediti šta imaju. To poređenje otkriva zamenjeni ključ u sredini, što je vredno i uže od dokazivanja ko kuca. Potvrda identiteta osobe i dalje traži kanal izvan aplikacije, poput poziva ili provere uživo. Provera serverskog sertifikata VPN-a potvrđuje sasvim drugi kraj.

Ne čitajte potvrđeni sigurnosni broj kao dokaz vlasništva nad nalogom. To je dokaz o ključevima, ne o ljudima.

Kopije, metapodaci i drugi uređaj

Čitljiv sadržaj postoji na krajevima, pa krajevi odlučuju šta se dalje dešava. Napravite kratku mapu mesta na koja kopija može dospeti pre nego što odlučite koliko tunel pomaže.

Pročitajte pravila aplikacije za rezervne kopije, povezane uređaje, obaveštenja i izvoz, jer je svako od njih zasebna kopija sa vlastitim postupanjem. Mreža i dalje otkriva vreme i obim čak i kada je sadržaj zaštićen, a VPN menja koji provajder vidi lokalnu vezu, ne da li takvi metapodaci postoje. Datoteka izvezena iz zaštićenog razgovora zadržava zaštitu koju njen format pruža, a tunel nakon toga ništa ne čini za nju.

Odaberite zaštitu za ono što pokriva: aplikaciju za sadržaj i ključeve, VPN za rutu i pogled na lokalnu mrežu. Zatim popišite kopije i uređaje koji stoje izvan oba.