VPN in šifriranje od konca do konca: kdo lahko kaj prebere
VPN ščiti pot, aplikacija za sporočila ščiti vsebino. Primerjajte izhod, posrednik in prejemnika, preden domnevate, da kdo od njiju skriva sporočilo.
Sledite enemu sporočilu od telefona do prijatelja in videli boste, da gre skozi vsaj dve različni vrsti zaščite. VPN pokriva pot med odjemalcem in njegovim prehodom, aplikacija za sporočila pokriva vsebino med napravami udeležencev. Nobeno ne nadomešča drugega, in koristno vprašanje ni, katero je močnejše, ampak kdo na vsakem koraku kaj lahko prebere. Prehodite to pot enkrat in vloge postanejo očitne.
Dve zaščiti, dva konca
Na pošiljajoči napravi aplikacija šifrira sporočilo s ključi, ki pripadajo pogovoru, nato pa šifrirano besedilo preda operacijskemu sistemu. VPN, če je aktiven, ovije ves promet, ki ustreza njegovi politiki, in ga odnese do prehoda. Od tam paket potuje po običajnem internetu do strežnikov aplikacije, ki ga posredujejo naprej prejemniku. Samo naprava prejemnika ima ključ, ki šifrirano besedilo spremeni nazaj v besedilo.
Posrednik na tej poti lahko vidi, kako sporočilo pride in odide, ne da bi ga prebral, in prav to lastnost naj bi zagotavljalo šifriranje od konca do konca.
Kaj lahko izhod VPN prebere in česa ne
Prehod VPN dešifrira tunel, ne vsebine aplikacije. Lahko opazuje, s katerim strežnikom se je odjemalec povezal, kdaj in koliko podatkov se je preneslo, nato pa pakete pošlje naprej. To je pomemben nabor dejstev in veliko manjši nabor od besedila sporočila. Na običajnem spletnem mestu HTTPS se povezava TLS konča na spletnem mestu, zato lahko spletno mesto prebere, kaj je bilo poslano, tudi če VPN ne more. Razlika je v tem, kje se vsak sloj konča, ne v tem, kateri izdelek je bolj zaseben.
Spremenite cilj v storitev s šifriranjem od konca do konca in posrednik na sredini izgubi vsebino, medtem ko VPN še vedno vidi vzorec povezave.
Ključi pripadajo pogovoru, ne poti
Ključi vsebine se dogovarjajo med udeleženci in ostanejo na njihovih napravah; VPN pri tej izmenjavi ne sodeluje. Aplikacije pogosto prikažejo varnostno številko ali odtis ključa, da lahko obe strani primerjata, kar imata. Ta primerjava odkrije zamenjan ključ na sredini, kar je dragoceno in ožje od dokazovanja, kdo tipka. Potrditev identitete osebe še vedno zahteva kanal zunaj aplikacije, na primer klic ali osebno preverjanje. Preverjanje strežniškega potrdila VPN overi povsem drugo končno točko.
Potrjenega varnostnega števila ne berite kot dokaz o lastništvu računa. To je dokaz o ključih, ne o ljudeh.
Kopije, metapodatki in druga naprava
Berljiva vsebina obstaja na koncih, zato konci odločajo, kaj se zgodi naprej. Preden se odločite, koliko pomaga tunel, naredite kratek zemljevid mest, kamor lahko pristane kopija.
| Point | Can it read the message | Why |
|---|---|---|
| Sending device | Yes | Content exists before encryption |
| VPN gateway | No | Terminates the tunnel, not the app keys |
| App relay | No, by design | Only ciphertext passes through |
| Recipient device | Yes | Holds the conversation keys |
| Cloud backup | Depends on the product | May store plaintext or an encrypted archive |
Preberite pravila aplikacije za varnostne kopije, povezane naprave, obvestila in izvoz, ker je vsako od njih ločena kopija z lastnim ravnanjem. Omrežje še vedno razkriva čas in obseg, tudi ko je vsebina zaščitena, VPN pa spremeni, kateri ponudnik vidi lokalno povezavo, ne pa, ali takšni metapodatki obstajajo. Datoteka, izvožena iz zaščitenega pogovora, ohrani zaščito, ki jo daje njen format, in tunel zanjo pozneje ne naredi ničesar.
Izberite zaščito glede na to, kaj pokriva: aplikacijo za vsebino in ključe, VPN za pot in pogled na lokalno omrežje. Nato naštejte kopije in naprave, ki stojijo zunaj obeh.