VPN ve uçtan uca şifreleme: kim neyi okuyabilir

Bir mesajı telefondan bir arkadaşa kadar izleyin, en az iki farklı koruma türünden geçtiğini görürsünüz. VPN, istemci ile ağ geçidi arasındaki rotayı kapsar; mesajlaşma uygulaması, katılımcıların cihazları arasındaki içeriği kapsar. Hiçbiri diğerinin yerini tutmaz ve yararlı soru hangisinin daha güçlü olduğu değil, her adımda kimin neyi okuyabildiğidir. Bu yolu bir kez yürüyün, roller belirginleşir.

İki koruma, iki uç

Gönderen cihazda uygulama mesajı görüşmeye ait anahtarlarla şifreler, ardından şifreli metni işletim sistemine verir. VPN etkinse politikasına uyan tüm trafiği sarar ve bir ağ geçidine taşır. Oradan paket sıradan internet üzerinden uygulamanın sunucularına gider, onlar da paketi alıcıya doğru iletir. Şifreli metni yeniden metne çeviren anahtar yalnızca alıcının cihazındadır.

Bu yoldaki bir aktarıcı, bir mesajın gelip gittiğini onu okumadan görebilir ve uçtan uca şifrelemenin sağlaması gereken özellik tam olarak budur.

VPN çıkışı neyi okuyabilir, neyi okuyamaz

VPN ağ geçidi tüneli çözer, uygulamanın içeriğini değil. İstemcinin hangi sunucuyla, ne zaman ve ne kadar veriyle temas kurduğunu gözlemleyebilir, sonra paketleri iletebilir. Bu anlamlı bir olgu kümesidir ve mesaj metninden çok daha küçük bir kümedir. Sıradan bir HTTPS sitesinde TLS bağlantısı sitede biter, bu yüzden VPN okuyamasa da site gönderileni okuyabilir. Fark her katmanın nerede bittiği ile ilgilidir, hangi ürünün daha gizli olduğuyla değil.

Hedefi uçtan uca şifrelenmiş bir hizmete değiştirin, ortadaki aktarıcı içeriği kaybeder, VPN ise bağlantı desenini hâlâ görür.

Anahtarlar görüşmeye aittir, rotaya değil

İçerik anahtarları katılımcılar arasında görüşülür ve onların cihazlarında kalır; VPN bu değişime katılmaz. Uygulamalar genellikle bir güvenlik numarası veya anahtar parmak izi gösterir, böylece iki taraf da elindekini karşılaştırabilir. Bu karşılaştırma ortada değiştirilmiş bir anahtarı yakalar; bu değerlidir ve kimin yazdığını kanıtlamaktan daha dardır. Bir kişinin kimliğini doğrulamak hâlâ uygulama dışında bir kanal gerektirir, örneğin bir arama veya yüz yüze kontrol. Bir VPN'in sunucu sertifikası denetimi tamamen başka bir uç noktayı doğrular.

Doğrulanmış bir güvenlik numarasını hesap sahipliğinin kanıtı olarak okumayın. Bu, anahtarlar hakkında kanıttır, insanlar hakkında değil.

Kopyalar, meta veriler ve diğer cihaz

Okunabilir içerik iki uçta bulunur, bu yüzden sırada ne olacağına uçlar karar verir. Tünelin ne kadar yardımcı olduğuna karar vermeden önce bir kopyanın inebileceği yerlerin kısa bir haritasını çıkarın.

Uygulamanın yedekler, bağlı cihazlar, bildirimler ve dışa aktarmalar için kurallarını okuyun, çünkü her biri kendi işleyişi olan ayrı bir kopyadır. Ağ, içerik korunsa bile zamanlamayı ve hacmi hâlâ açığa çıkarır; VPN, yerel bağlantıyı hangi sağlayıcının gördüğünü değiştirir, bu tür meta verilerin olup olmadığını değil. Korunan bir görüşmeden dışa aktarılan dosya, biçiminin sağladığı korumayı korur ve tünel daha sonra onun için hiçbir şey yapmaz.

Korumayı kapsadığı şeye göre seçin: içerik ve anahtarlar için uygulamayı, rota ve yerel ağ görünümü için VPN'i. Sonra her ikisinin dışında kalan kopyaları ve cihazları listeleyin.