VPN กับการเข้ารหัสแบบต้นทางถึงปลายทาง: ใครอ่านอะไรได้

ติดตามข้อความหนึ่งข้อความจากโทรศัพท์ไปยังเพื่อน แล้วจะเห็นว่ามันผ่านการป้องกันอย่างน้อยสองแบบที่ต่างกัน VPN ครอบคลุมเส้นทางระหว่างไคลเอนต์กับเกตเวย์ของมัน ส่วนแอปแชทครอบคลุมเนื้อหาระหว่างอุปกรณ์ของผู้เข้าร่วม ทั้งสองไม่ได้แทนกัน และคำถามที่มีประโยชน์ไม่ใช่แบบไหนแข็งแกร่งกว่า แต่เป็นใครอ่านอะไรได้ในแต่ละขั้น เดินตามเส้นทางนี้สักครั้งแล้วบทบาทจะชัดเจน

การป้องกันสองชั้น สองปลายทาง

ที่อุปกรณ์ผู้ส่ง แอปเข้ารหัสข้อความด้วยคีย์ที่เป็นของบทสนทนา แล้วส่งข้อความเข้ารหัสให้ระบบปฏิบัติการ VPN หากเปิดใช้งานจะห่อหุ้มทราฟฟิกทั้งหมดที่ตรงกับนโยบายและพาไปยังเกตเวย์ จากนั้นแพ็กเก็ตเดินทางผ่านอินเทอร์เน็ตธรรมดาไปยังเซิร์ฟเวอร์ของแอป ซึ่งส่งต่อไปยังผู้รับ มีเพียงอุปกรณ์ของผู้รับเท่านั้นที่ถือคีย์ซึ่งเปลี่ยนข้อความเข้ารหัสกลับเป็นข้อความ

รีเลย์บนเส้นทางนั้นเห็นข้อความเข้ามาและออกไปได้โดยไม่ต้องอ่าน และนั่นคือคุณสมบัติที่การเข้ารหัสต้นทางถึงปลายทางควรมี

จุดออกของ VPN อ่านอะไรได้และไม่ได้

เกตเวย์ VPN ถอดรหัสอุโมงค์ ไม่ใช่เนื้อหาของแอป มันสังเกตได้ว่าไคลเอนต์ติดต่อเซิร์ฟเวอร์ใด เมื่อใด และข้อมูลเคลื่อนไปเท่าใด แล้วส่งแพ็กเก็ตต่อไป นั่นเป็นชุดข้อเท็จจริงที่มีความหมายและเล็กกว่าข้อความมาก บนเว็บไซต์ HTTPS ทั่วไป การเชื่อมต่อ TLS สิ้นสุดที่เว็บไซต์ เว็บไซต์จึงอ่านสิ่งที่ส่งไปได้แม้ VPN จะทำไม่ได้ ความต่างอยู่ที่ แต่ละชั้นสิ้นสุดที่ใด ไม่ใช่ที่ผลิตภัณฑ์ใดเป็นส่วนตัวกว่า

เปลี่ยนปลายทางเป็นบริการที่เข้ารหัสต้นทางถึงปลายทาง รีเลย์ตรงกลางจะสูญเสียเนื้อหา ขณะที่ VPN ยังเห็นรูปแบบการเชื่อมต่อ

คีย์เป็นของบทสนทนา ไม่ใช่ของเส้นทาง

คีย์เนื้อหาถูกเจรจาระหว่างผู้เข้าร่วมและอยู่บนอุปกรณ์ของพวกเขา VPN ไม่มีส่วนในการแลกเปลี่ยนนั้น แอปมักแสดงหมายเลขความปลอดภัยหรือลายนิ้วมือของคีย์เพื่อให้ทั้งสองฝ่ายเปรียบเทียบสิ่งที่ตนมี การเปรียบเทียบนั้นตรวจจับคีย์ที่ถูกแทนที่ตรงกลาง ซึ่งมีค่าและแคบกว่าการพิสูจน์ว่าใครพิมพ์ การยืนยันตัวตนของคนยังต้องใช้ช่องทางนอกแอป เช่น การโทรหรือการตรวจสอบซึ่งหน้า การตรวจสอบใบรับรองเซิร์ฟเวอร์ของ VPN ยืนยันปลายทางที่ต่างออกไปโดยสิ้นเชิง

อย่าอ่านหมายเลขความปลอดภัยที่ตรวจสอบแล้วว่าเป็นหลักฐานความเป็นเจ้าของบัญชี มันเป็นหลักฐานเกี่ยวกับคีย์ ไม่ใช่เกี่ยวกับคน

สำเนา เมตาดาตา และอุปกรณ์อีกเครื่อง

เนื้อหาที่อ่านได้มีอยู่ที่ปลายทั้งสอง ดังนั้นปลายทั้งสองจึงกำหนดว่าจะเกิดอะไรต่อไป ก่อนตัดสินใจว่าอุโมงค์ช่วยได้มากน้อยเพียงใด ให้ทำแผนที่สั้น ๆ ของจุดที่สำเนาอาจไปลงได้

อ่านกฎของแอปสำหรับการสำรองข้อมูล อุปกรณ์ที่เชื่อมโยง การแจ้งเตือน และการส่งออก เพราะแต่ละอย่างเป็นสำเนาแยกที่มีการจัดการของตัวเอง เครือข่ายยังคงเปิดเผยเวลาและปริมาณแม้เนื้อหาจะได้รับการป้องกัน และ VPN เปลี่ยนผู้ให้บริการที่เห็นการเชื่อมต่อในเครื่อง ไม่ใช่ว่ามีเมตาดาตาเช่นนั้นหรือไม่ ไฟล์ที่ส่งออกจากบทสนทนาที่ป้องกันไว้จะคงการป้องกันที่รูปแบบของมันให้ไว้ และอุโมงค์ไม่ได้ทำอะไรให้หลังจากนั้น

เลือกการป้องกันให้ตรงกับสิ่งที่มันครอบคลุม แอปสำหรับเนื้อหาและคีย์ VPN สำหรับเส้นทางและมุมมองเครือข่ายในเครื่อง จากนั้นระบุสำเนาและอุปกรณ์ที่อยู่นอกเหนือทั้งสองอย่าง