Мобільні дані та Wi-Fi кампусу: що VPN насправді додає

Спершу запитайте, хто спостерігає, і лише потім — чи допомагає тунель, бо відповідь цілком змінюється залежно від спостерігача. У мобільних даних цікавий спостерігач — оператор, у Wi-Fi кампусу — мережа, до якої ви щойно підключилися. Це різні позиції з різною видимістю, і один тунель не може поліпшити обидві однаково. Більшість плутанини виникає через те, що VPN вважають властивістю пристрою, а не зміною того, хто що може бачити. Пройдіть переходи по одному, і рішення зазвичай ухвалюється саме.

Що приховує радіоперехід, а що ні

Шифрування радіо погано показало себе в ранніх поколіннях, а пізніші сильніші, але не стають невидимими. Родину GSM A5 зламали роки тому, а для алгоритмів третього покоління опубліковано практичні атаки. Що переживає все це — метадані: яка стільника, коли, скільки і які адреси. Пропустіть трафік через тунель, і оператор втрачає призначення, а оператор тунелю їх отримує; це обмін, вартий того проти цікавого оператора і марний проти того, хто зберігає й продає записи.

Оператор також не єдина сторона на цьому шляху: угода про роумінг додає ще одну мережу, яка може спостерігати ті самі метадані, а вихід тунелю стає місцем, де все це збирається.

HTTPS уже закриває більшу частину цього

Майже все, що люди роблять на телефоні, вже всередині TLS: вебпошта, банкінг, повідомлення, більшість застосунків. Тунель цього не підсилює, а коли він сам надає розв'язувач, він бачить імена, які TLS інакше приховав би. За межами TLS залишаються схема призначень, будь-який старий протокол відкритого тексту, а також час і обсяг розмови.

Саме цей залишок VPN і змінює, тому він важливіший у спільній мережі Wi-Fi, ніж у з'єднанні, вже зашифрованому на кожному переході. Тому й банківському сайту в мобільних даних не потрібен тунель: сертифікат і клієнт уже протидіють цій загрозі.

VPN кампусу — інструмент доступу

Університети тримають VPN, щоб помістити вас усередину власної мережі, і це правильна відповідь для ліцензованого журналу, спільної теки кафедри, лабораторної машини чи сервісу, який блокує периметр. Це не інструмент приватності, а повний тунель робить університет спостерігачем усього, що ви робите, включно із сайтами, не пов'язаними з навчанням. Коли мета — не дати кампусу бачити ваші призначення, використання VPN кампусу працює рівно навпаки.

Політика прийнятного використання стосується механізму, а не виносок. Діставатися ліцензованого ресурсу через тунель кампусу — для цього він і потрібен; використовувати комерційний тунель, щоб обійти фільтр кампусу, зазвичай є порушенням, працює це чи ні. Ці два речення вирішують більшість реальних випадків без будь-якої думки про постачальників.

Вирішіть трьома питаннями

Залишаються три питання: хто той спостерігач, який вас турбує, що вже зашифровано від краю до краю і що дозволяє політика. Відповідайте письмово, бо відповіді короткі, і саме вони змінюються пізніше.

Потім виберіть форму тунелю з цих відповідей, а не зі звички. Якщо один тунель для приватних ресурсів, а інший інстинкт для звичайного перегляду, тримайте їх окремо, замість просити одного клієнта робити обидва погано. Розділене тунелювання — законний дизайн, а не компроміс, якщо маршрутизація записана і ви знаєте, який трафік іде яким шляхом. Помилка, якої слід уникати, — клієнт, який повідомляє про підключення, надсилаючи лише вибрані префікси, і ніхто не помічає, у якому випадку вони.

Перевірте обидва шляхи, а потім опишіть їх чесно

Після підключення перевірте один приватний ресурс і один звичайний сайт і подивіться на адресу виходу з кожного боку. Ця одна перевірка відділяє робочий розділений тунель від повного, і це єдине твердження про покриття, яке можна зробити без здогадів.

Запишіть два результати в заявку. Така фраза цінніша за будь-яке твердження про те, чи вартий VPN, бо називає шляхи, а не продукт.