Mobildata och campus-wifi: vad ett VPN faktiskt tillför

Fråga först vem som tittar och sedan om en tunnel hjälper, eftersom svaret ändras helt med observatören. På mobildata är den intressanta observatören operatören; på campus-wifi är det nätverket du just anslöt till. Det är olika positioner med olika synlighet, och en tunnel kan inte förbättra båda på samma sätt. Det mesta av förvirringen kommer av att behandla ett VPN som en egenskap hos enheten i stället för en förändring av vem som kan se vad. Gå igenom hoppen ett i taget och beslutet brukar fattas av sig självt.

Vad radiohoppet döljer och vad det inte döljer

Radiokryptering har ett dåligt rykte i sina tidiga generationer, och de senare är starkare utan att bli osynliga. GSM A5-familjen knäcktes för år sedan, och för tredje generationens algoritmer har praktiska attacker publicerats. Det som överlever allt detta är metadata: vilken cell, när, hur mycket och vilka adresser. Skicka trafiken genom en tunnel och operatören förlorar målen medan tunneloperatören får dem, en affär som är värd det mot en nyfiken operatör och värdelös mot en som sparar och säljer uppgifter.

Operatören är inte heller den enda parten på den vägen: ett roamingavtal lägger till ett annat nätverk som kan observera samma metadata, och tunnelns utgång blir platsen där allt detta samlas.

HTTPS täcker redan det mesta

Nästan allt folk gör på en telefon finns redan i TLS: webbmail, bank, meddelanden, de flesta appar. En tunnel förstärker inte det, och när den tillhandahåller resolvern kan den se namn som TLS annars skulle ha dolt. Det TLS lämnar utanför är mönstret av mål, vilket gammalt protokoll som helst med klartext samt samtalets timing och volym.

Just den resten är vad ett VPN ändrar, och därför spelar det större roll på en delad wifi-länk än på en länk som redan är krypterad per hopp. Det är också därför en banksida över mobildata inte behöver en tunnel: certifikatet och klienten hanterar redan det hotet.

Campus-VPN:en är ett åtkomstverktyg

Universitet driver ett VPN för att placera dig inne i sitt eget nätverk, och det är rätt svar för en licensierad tidskrift, en avdelningsdelning, en laboratoriemaskin eller en tjänst som perimetern blockerar. Det är inte ett integritetsverktyg, och en full tunnel gör universitetet till observatör av allt du gör, inklusive sajter som inte har något med studierna att göra. När målet är att hindra campus från att se dina mål är användningen av campus-VPN:en precis bakvänd.

Riktlinjen för acceptabel användning hör till mekanismen och inte till fotnoterna. Att nå en licensierad resurs genom campus-tunneln är vad den är till för; att använda en kommersiell tunnel för att kringgå ett campusfilter är oftast en överträdelse, oavsett om det fungerar. De två meningarna avgör de flesta verkliga fallen utan någon åsikt om leverantörer.

Bestäm med tre frågor

Tre frågor återstår: vem är observatören du bryr dig om, vad är redan krypterat från ände till ände och vad tillåter riktlinjen. Svara skriftligt, för svaren är korta och det är den delen som ändras senare.

Välj sedan tunnelns form utifrån de svaren och inte av vana. Om en tunnel är för privata resurser och en annan instinkt för vanligt surfande, håll dem åtskilda i stället för att be en klient göra båda dåligt. Delad tunnling är en legitim design och inte en kompromiss, så länge routingen är nedskriven och du vet vilken trafik som tar vilken väg. Felet att undvika är klienten som rapporterar ansluten medan den bara skickar utvalda prefix, utan att någon märker vilket fall de är i.

Testa båda vägarna och beskriv dem sedan ärligt

Efter anslutning testar du en privat resurs och en vanlig webbplats, och observerar utgångsadressen i båda ändar. Det enda testet skiljer en fungerande delad tunnel från en full tunnel, och det är det enda täckningspåstående du kan göra utan att gissa.

Skriv de två resultaten i ärendet. En sådan mening är värd mer än något uttalande om huruvida VPN:en är värd det, eftersom den namnger vägarna i stället för produkten.