VPN và mã hóa đầu cuối: ai có thể đọc được gì
VPN bảo vệ tuyến đường, ứng dụng nhắn tin bảo vệ nội dung. Hãy so sánh điểm ra, nút chuyển tiếp và người nhận trước khi cho rằng một trong hai che giấu tin nhắn.
Theo dõi một tin nhắn từ điện thoại đến một người bạn và nó đi qua ít nhất hai kiểu bảo vệ khác nhau. VPN bao phủ tuyến đường giữa máy khách và cổng của nó, ứng dụng nhắn tin bao phủ nội dung giữa thiết bị của những người tham gia. Không cái nào thay thế cái kia, và câu hỏi hữu ích không phải là cái nào mạnh hơn, mà là ai có thể đọc được gì ở mỗi bước. Hãy đi hết con đường một lần và vai trò sẽ trở nên rõ ràng.
Hai lớp bảo vệ, hai đầu
Trên thiết bị gửi, ứng dụng mã hóa tin nhắn bằng các khóa thuộc về cuộc trò chuyện, rồi chuyển bản mã cho hệ điều hành. VPN, nếu đang hoạt động, sẽ bọc mọi lưu lượng khớp với chính sách của nó và mang đến một cổng. Từ đó gói tin đi qua internet thông thường đến máy chủ của ứng dụng, nơi chuyển tiếp nó về phía người nhận. Chỉ thiết bị của người nhận giữ khóa biến bản mã trở lại thành văn bản.
Một nút chuyển tiếp trên con đường đó có thể thấy một tin nhắn đến và đi mà không đọc nó, và đó chính là đặc tính mà mã hóa đầu cuối phải cung cấp.
Cổng VPN đọc được gì và không đọc được gì
Cổng VPN giải mã đường hầm, không giải mã nội dung của ứng dụng. Nó có thể quan sát máy khách đã liên hệ máy chủ nào, khi nào và bao nhiêu dữ liệu đã di chuyển, rồi chuyển tiếp các gói tin. Đó là một tập hợp dữ kiện có ý nghĩa và nhỏ hơn nhiều so với văn bản của tin nhắn. Trên một trang HTTPS thông thường, kết nối TLS kết thúc tại trang, nên trang có thể đọc nội dung đã gửi dù VPN không thể. Sự khác biệt nằm ở nơi mỗi lớp kết thúc, không phải ở sản phẩm nào riêng tư hơn.
Đổi đích đến thành một dịch vụ mã hóa đầu cuối và nút chuyển tiếp ở giữa mất nội dung, trong khi VPN vẫn thấy kiểu kết nối.
Khóa thuộc về cuộc trò chuyện, không thuộc tuyến đường
Các khóa nội dung được thương lượng giữa những người tham gia và ở lại trên thiết bị của họ; VPN không tham gia vào việc trao đổi đó. Các ứng dụng thường hiển thị số an toàn hoặc dấu vân tay khóa để cả hai bên so sánh những gì mình có. Việc so sánh đó phát hiện một khóa bị thay thế ở giữa, điều này có giá trị và hẹp hơn việc chứng minh ai đang gõ. Xác nhận danh tính của một người vẫn cần một kênh bên ngoài ứng dụng, như cuộc gọi hoặc kiểm tra trực tiếp. Việc kiểm tra chứng chỉ máy chủ của VPN xác minh một điểm cuối hoàn toàn khác.
Đừng đọc số an toàn đã xác minh như bằng chứng sở hữu tài khoản. Đó là bằng chứng về các khóa, không phải về con người.
Bản sao, siêu dữ liệu và thiết bị kia
Nội dung đọc được tồn tại ở hai đầu, nên hai đầu quyết định điều gì xảy ra tiếp theo. Trước khi quyết định đường hầm giúp được bao nhiêu, hãy vẽ một bản đồ ngắn về những nơi một bản sao có thể rơi vào.
| Point | Can it read the message | Why |
|---|---|---|
| Sending device | Yes | Content exists before encryption |
| VPN gateway | No | Terminates the tunnel, not the app keys |
| App relay | No, by design | Only ciphertext passes through |
| Recipient device | Yes | Holds the conversation keys |
| Cloud backup | Depends on the product | May store plaintext or an encrypted archive |
Đọc các quy tắc của ứng dụng về sao lưu, thiết bị liên kết, thông báo và xuất dữ liệu, vì mỗi thứ là một bản sao riêng với cách xử lý riêng. Mạng vẫn phơi bày thời điểm và khối lượng ngay cả khi nội dung được bảo vệ, và VPN thay đổi nhà cung cấp nào nhìn thấy kết nối cục bộ, không phải liệu siêu dữ liệu đó có tồn tại hay không. Một tệp được xuất từ cuộc trò chuyện được bảo vệ giữ lại mức bảo vệ mà định dạng của nó mang lại, và đường hầm không làm gì cho nó sau đó.
Chọn biện pháp bảo vệ cho thứ nó bao phủ: ứng dụng cho nội dung và khóa, VPN cho tuyến đường và góc nhìn mạng cục bộ. Sau đó liệt kê các bản sao và thiết bị nằm ngoài cả hai.