VPN thay đổi đường đi và bên quan sát mạng; mã hóa đầu cuối bảo vệ nội dung trò chuyện trong một ranh giới khác.
VPN hoặc proxy thường chỉ nhìn thấy lưu lượng thực sự đi qua nó. Nếu nội dung trò chuyện được bảo vệ bằng mã hóa đầu cuối đúng cách và các khóa hợp lệ, chỉ quan sát đường đi trên mạng không làm lộ nội dung tin nhắn. Nhưng câu trả lời đó không có nghĩa là bạn hoàn toàn ẩn danh hay mọi ứng dụng VPN đều vô hại.
Để lựa chọn và sử dụng có hiểu biết, hãy tách ba lớp: đường hầm VPN, kết nối HTTPS/TLS và mã hóa đầu cuối của chính ứng dụng nhắn tin.
Mỗi lớp bảo vệ kéo dài đến đâu?
| Lớp | Hai đầu bảo vệ thông thường | Ai vẫn nhìn thấy một phần thông tin? |
|---|---|---|
| VPN | Thiết bị và máy chủ VPN | Nhà cung cấp VPN có thông tin kết nối của lưu lượng đi qua |
| HTTPS/TLS | Ứng dụng hoặc trình duyệt và dịch vụ đích | Dịch vụ đích nhìn thấy dữ liệu được gửi cho mình |
| E2EE | Thiết bị của những người tham gia | Người nhận truy cập được nội dung đọc được; siêu dữ liệu có thể vẫn tồn tại |
Các lớp này có thể tồn tại đồng thời, nhưng cùng mang tên “mã hóa” không có nghĩa là có cùng ranh giới. Hướng dẫn mã hóa của EFF giải thích sự khác biệt này.
VPN có thể quan sát điều gì?
Nhà cung cấp VPN có thể quan sát IP nguồn kết nối, thời gian, dung lượng và đích mạng của lưu lượng đi qua. Mức thông tin về tên miền phụ thuộc vào DNS và công nghệ kết nối. Nhìn thấy IP máy chủ nhắn tin không nhất thiết cho biết tên người liên hệ hay mã định danh người nhận bên trong ứng dụng; thông tin đó có thể nằm trong một lớp được mã hóa.
VPN thường hiển thị một IP đầu ra khác cho dịch vụ đích, nhưng không giấu IP của bạn với chính nhà cung cấp VPN. Tài khoản, cookie, mã định danh thiết bị hoặc hành vi sử dụng cũng có thể khiến bạn vẫn bị nhận diện. Xem hướng dẫn chọn VPN của EFF.
Proxy của một ứng dụng, tiện ích trình duyệt và VPN toàn hệ thống cũng không có cùng phạm vi. Tính năng như split tunneling có thể đưa một phần lưu lượng ra ngoài đường hầm. Chỉ nên nói “toàn bộ lưu lượng” sau khi kiểm tra cài đặt.
Khi nào nội dung tin nhắn hoặc mật khẩu gặp nguy hiểm?
- Nếu dữ liệu được gửi mà không có bảo vệ thích hợp, bên trung gian mạng có thể đọc hoặc sửa nó.
- Nếu người dùng bỏ qua cảnh báo chứng chỉ hoặc một chứng chỉ độc hại được tin cậy, ranh giới TLS có thể thay đổi.
- Nếu chính ứng dụng VPN là phần mềm độc hại và có thêm quyền trên thiết bị, rủi ro không chỉ nằm ở đường đi trên mạng.
- Nếu có trang đăng nhập giả, mã web bị chỉnh sửa hoặc thiết bị bị nhiễm mã độc, thông tin có thể bị lấy trước khi mã hóa được thực hiện.
Ngược lại, chỉ có một VPN trên đường truyền không có nghĩa là HTTPS hoặc E2EE bị phá vỡ. Khẳng định nội dung bị lộ cần có cơ chế và bằng chứng cụ thể.
Miễn phí hay trả phí: cần kiểm tra gì?
Miễn phí không phải bằng chứng chắc chắn của việc bán thông tin, và thuê bao trả phí cũng không bảo đảm sự đáng tin. Hãy kiểm tra chính sách lưu nhật ký, chủ sở hữu, cách tài trợ, lịch sử cập nhật và phạm vi kiểm toán. Cụm từ như “không lưu nhật ký” là chưa đủ nếu không định nghĩa loại dữ liệu và thời gian lưu giữ.
Với một ứng dụng VPN chưa quen biết, hãy xem xét riêng các yêu cầu truy cập Trợ năng, danh bạ hoặc cài chứng chỉ. Các quyền này không nhất thiết cần để tạo một đường hầm thông thường. Đừng coi lời giải thích của nhà sản xuất tự nó là bằng chứng kỹ thuật.
Trò chuyện riêng và kênh công khai trong Livara
Trang bảo mật Livara phân biệt việc bảo vệ nội dung trò chuyện trực tiếp được hỗ trợ và nhóm riêng tương thích với siêu dữ liệu định tuyến và kênh công khai. Cũng trang đó nói rằng nhóm cũ không tương thích được giữ rõ ràng ngoài E2EE, và nhóm mới không được tạo với nhãn đã mã hóa cho đến khi mọi thành viên sẵn sàng. Vì vậy, hãy kiểm tra trạng thái của chính cuộc trò chuyện và phiên bản ứng dụng. Đây là các khẳng định về thiết kế sản phẩm; bài viết này không phải kiểm thử xâm nhập hay bảo đảm khả năng chống lại mọi kẻ tấn công.
Kênh công khai có nghĩa là người đọc và dịch vụ có thể xem nội dung. Điều đó không có nghĩa là mọi bên trung gian mạng có thể đọc trực tiếp nội dung từ các gói tin đi qua khi HTTPS vẫn hoạt động đúng. “Công khai với người đọc” khác với “không mã hóa đường truyền”.
Danh sách kiểm tra ngắn trước cuộc trò chuyện nhạy cảm
Dùng phiên bản ứng dụng chính thức và cập nhật; đừng bỏ qua cảnh báo chứng chỉ; xem lại các quyền bổ sung; hiểu loại cuộc trò chuyện thực tế và cài đặt sao lưu; trong tình huống nhạy cảm, xác minh khóa của người liên hệ qua một kênh độc lập.
Hãy chọn VPN cho vấn đề mà nó thực sự giải quyết. Thay đổi đường đi trên mạng có thể hữu ích, nhưng không thay thế trạng thái an toàn của thiết bị, tính xác thực của khóa hay sự tin cậy vào người nhận.
