VPN і наскрізне шифрування: хто що може прочитати
VPN захищає маршрут, месенджер захищає вміст. Порівняйте вихід, релей і одержувача, перш ніж припускати, що хтось із них ховає повідомлення.
Простежте одне повідомлення від телефона до друга, і ви побачите, що воно проходить щонайменше через два різні види захисту. VPN покриває маршрут між клієнтом і його шлюзом, месенджер покриває вміст між пристроями учасників. Жоден не замінює інший, і корисне питання не в тому, що сильніше, а в тому, хто на кожному кроці що може прочитати. Пройдіть цей шлях один раз, і ролі стануть очевидними.
Два захисти, два кінці
На пристрої відправника застосунок шифрує повідомлення ключами, що належать розмові, а потім передає шифротекст операційній системі. VPN, якщо він активний, загортає весь трафік, що відповідає його політиці, і доставляє його до шлюзу. Звідти пакет іде звичайним інтернетом до серверів застосунку, які переправляють його до одержувача. Лише пристрій одержувача має ключ, що перетворює шифротекст назад у текст.
Релей на цьому шляху може бачити, як повідомлення приходить і йде, не читаючи його, і саме цю властивість має забезпечувати наскрізне шифрування.
Що вихід VPN може і чого не може прочитати
Шлюз VPN розшифровує тунель, а не вміст застосунку. Він може спостерігати, до якого сервера звернувся клієнт, коли і скільки даних передано, а потім переправляти пакети далі. Це значущий набір фактів і значно менший набір, ніж текст повідомлення. На звичайному сайті HTTPS з'єднання TLS завершується на сайті, тож сайт може прочитати надіслане, навіть якщо VPN не може. Різниця в тому, де закінчується кожен шар, а не в тому, який продукт приватніший.
Змініть призначення на сервіс із наскрізним шифруванням, і релей посередині втратить вміст, а VPN і далі бачитиме картину з'єднання.
Ключі належать розмові, а не маршруту
Ключі вмісту узгоджуються між учасниками й залишаються на їхніх пристроях; VPN не бере участі в цьому обміні. Застосунки часто показують номер безпеки або відбиток ключа, щоб обидві сторони могли порівняти те, що мають. Це порівняння виявляє підмінений ключ посередині, що цінно й вужче, ніж довести, хто друкує. Підтвердження особи людини й далі потребує каналу поза застосунком, наприклад дзвінка або перевірки особисто. Перевірка серверного сертифіката VPN засвідчує зовсім іншу кінцеву точку.
Не читайте підтверджений номер безпеки як доказ володіння акаунтом. Це доказ про ключі, а не про людей.
Копії, метадані та інший пристрій
Читаний вміст існує на обох кінцях, тож кінці вирішують, що буде далі. Перш ніж вирішувати, наскільки допомагає тунель, складіть коротку карту місць, куди може потрапити копія.
| Point | Can it read the message | Why |
|---|---|---|
| Sending device | Yes | Content exists before encryption |
| VPN gateway | No | Terminates the tunnel, not the app keys |
| App relay | No, by design | Only ciphertext passes through |
| Recipient device | Yes | Holds the conversation keys |
| Cloud backup | Depends on the product | May store plaintext or an encrypted archive |
Прочитайте правила застосунку щодо резервних копій, пов'язаних пристроїв, сповіщень і експорту, бо кожне з них — окрема копія з власним поводженням. Мережа все одно розкриває час і обсяг, навіть коли вміст захищено, а VPN змінює те, який постачальник бачить локальне з'єднання, а не те, чи існують такі метадані. Файл, експортований із захищеної розмови, зберігає захист, який дає його формат, і тунель після цього для нього нічого не робить.
Виберіть захист під те, що він покриває: застосунок для вмісту й ключів, VPN для маршруту й вигляду локальної мережі. Потім перелічіть копії та пристрої, що стоять поза обома.