VPN och totalsträckskryptering: vem kan läsa vad
Ett VPN skyddar vägen, meddelandeappen skyddar innehållet. Jämför utgången, reläet och mottagaren innan du antar att någon av dem döljer meddelandet.
Följ ett meddelande från en telefon till en vän och det passerar minst två olika typer av skydd. VPN:en täcker vägen mellan klienten och dess gateway, meddelandeappen täcker innehållet mellan deltagarnas enheter. Ingen av dem ersätter den andra, och den användbara frågan är inte vilken som är starkast, utan vem som kan läsa vad vid varje steg. Gå vägen en gång och rollerna blir tydliga.
Två skydd, två ändar
På sändarenheten krypterar appen meddelandet med nycklar som hör till konversationen och lämnar sedan chiffertexten till operativsystemet. VPN:en packar, om den är aktiv, in all trafik som matchar dess policy och bär den till en gateway. Därifrån reser paketet över det vanliga internet till appens servrar, som vidarebefordrar det mot mottagaren. Bara mottagarens enhet har nyckeln som gör chiffertexten till text igen.
Ett relä på den vägen kan se ett meddelande komma och gå utan att läsa det, och det är just den egenskapen totalsträckskryptering ska ge.
Vad VPN-utgången kan och inte kan läsa
En VPN-gateway dekrypterar tunneln, inte appens innehåll. Den kan observera vilken server klienten kontaktade, när och hur mycket data som flyttades, och sedan skicka paketen vidare. Det är en meningsfull uppsättning fakta och en mycket mindre uppsättning än meddelandets text. På en vanlig HTTPS-webbplats slutar TLS-anslutningen på webbplatsen, så webbplatsen kan läsa det som skickades även om VPN:en inte kan. Skillnaden handlar om var varje lager slutar, inte om vilken produkt som är mer privat.
Ändra destinationen till en totalsträckskrypterad tjänst och reläet i mitten förlorar innehållet, medan VPN:en fortfarande ser anslutningsmönstret.
Nycklarna hör till konversationen, inte till vägen
Innehållsnycklar förhandlas mellan deltagarna och stannar på deras enheter; ett VPN deltar inte i det utbytet. Appar visar ofta ett säkerhetsnummer eller ett nyckelfingeravtryck så att båda sidor kan jämföra det de har. Den jämförelsen upptäcker en utbytt nyckel i mitten, vilket är värdefullt och snävare än att bevisa vem som skriver. Att bekräfta en persons identitet kräver fortfarande en kanal utanför appen, som ett samtal eller en kontroll ansikte mot ansikte. En VPN:s servercertifikatkontroll verifierar en helt annan slutpunkt.
Läs inte ett bekräftat säkerhetsnummer som bevis på kontoinnehav. Det är bevis om nycklar, inte om människor.
Kopior, metadata och den andra enheten
Läsbart innehåll finns vid ändarna, så ändarna avgör vad som händer härnäst. Gör en kort karta över platserna där en kopia kan landa innan du bestämmer hur mycket tunneln hjälper.
| Point | Can it read the message | Why |
|---|---|---|
| Sending device | Yes | Content exists before encryption |
| VPN gateway | No | Terminates the tunnel, not the app keys |
| App relay | No, by design | Only ciphertext passes through |
| Recipient device | Yes | Holds the conversation keys |
| Cloud backup | Depends on the product | May store plaintext or an encrypted archive |
Läs appens regler för säkerhetskopior, anslutna enheter, aviseringar och exporter, eftersom var och en är en separat kopia med sin egen hantering. Nätverket avslöjar fortfarande tidpunkt och volym även när innehållet är skyddat, och ett VPN ändrar vilken leverantör som ser den lokala anslutningen, inte om sådana metadata finns. En fil som exporteras från en skyddad konversation behåller det skydd som dess format ger, och tunneln gör ingenting för den efteråt.
Välj skyddet för det det täcker: appen för innehåll och nycklar, VPN:en för vägen och utsikten över det lokala nätverket. Lista sedan kopiorna och enheterna som ligger utanför båda.