VPN-y: co chronią, a czego nie

Wirtualna sieć prywatna (VPN) tworzy zaszyfrowany tunel między urządzeniem użytkownika a serwerem VPN. Cały ruch jest kierowany przez ten serwer, który ukrywa rzeczywisty adres IP użytkownika przed witrynami i szyfruje ruch przed dostawcą usług internetowych lub siecią lokalną.

Etapy korzystania z sieci VPN:

1. Urządzenie ustanawia zaszyfrowane połączenie z serwerem VPN
2. Cały ruch jest wysyłany przez ten zaszyfrowany tunel
3. Serwer VPN wysyła ruch do miejsca docelowego w imieniu użytkownika
4. Miejsce docelowe widzi adres IP serwera VPN, a nie adres użytkownika
5. Odpowiedź wraca tunelem do użytkownika

Popularne protokoły VPN:

• OpenVPN — open source, wysoce konfigurowalny, korzysta z TLS
• WireGuard — nowoczesny, szybki, z niewielką bazą kodu i doskonałym poziomem bezpieczeństwa
• IKEv2/IPsec — szybkie ponowne łączenie, doskonały dla urządzeń mobilnych
• PPTP — przestarzały i niezabezpieczony, nigdy go nie używać

Sieci VPN skutecznie chronią:

• Ruch przed dostawcą usług internetowych (widzi zaszyfrowany tunel, a nie jego treść)
• Ruch w niezaufanych sieciach Wi-Fi (w kawiarni, na lotnisku)
• Rzeczywisty adres IP użytkownika przed odwiedzanymi witrynami
• Omijanie geograficznych ograniczeń dostępu do treści
• Przed lokalnym nadzorem nad siecią

Sieci VPN NIE chronią przed:

• Oprogramowaniem malware znajdującym się już na urządzeniu użytkownika
• Phishingiem i inżynierią społeczną
• Plikami cookie i odciskiem palca przeglądarki
• Śledzeniem konta po zalogowaniu (Google wie, kim jest użytkownik)
• Wyciekiem DNS (jeśli zapytania DNS nie są kierowane przez VPN)
• Samym dostawcą VPN — teraz to on widzi ruch użytkownika

Korzystanie z VPN przenosi zaufanie z dostawcy usług internetowych na dostawcę VPN. Nieuczciwy dostawca VPN może rejestrować cały ruch użytkownika. Dostawców VPN należy oceniać na podstawie polityki braku logów (najlepiej poddanej audytowi), jurysdykcji, raportów przejrzystości i klientów open source.

Wyciek DNS występuje, gdy zapytania DNS są wysyłane poza tunelem VPN, ujawniając odwiedzane domeny dostawcy usług internetowych nawet podczas połączenia z VPN. Można to sprawdzić w witrynie dnsleaktest.com i należy korzystać z sieci VPN, które kierują DNS przez tunel.

Korporacyjne sieci VPN łączą pracowników zdalnych z wewnętrznymi sieciami firmowymi. W przeciwieństwie do sieci VPN dla użytkowników indywidualnych korporacyjne sieci VPN pozwalają pracodawcy monitorować ruch. Korzystanie z korporacyjnej sieci VPN do prywatnego przeglądania oznacza, że dział IT może zobaczyć cały ruch użytkownika.

Split tunneling kieruje przez VPN tylko określony ruch. Przykładowo: wyłącznie ruch do sieci firmowej przechodzi przez VPN, a prywatne przeglądanie odbywa się bezpośrednio przez internet. Zmniejsza to obciążenie VPN, ale może tworzyć luki w zabezpieczeniach.

Połączenie VPN z Torem zapewnia dodatkowe warstwy ochrony:

• VPN-over-Tor: VPN ukrywa korzystanie z Tora przed dostawcą usług internetowych, a Tor zapewnia anonimowość
• Tor-over-VPN: Tor ukrywa ruch przed dostawcą VPN

Oba rozwiązania zwiększają złożoność i obniżają wydajność. Są używane przez dziennikarzy i aktywistów w środowiskach wysokiego ryzyka.

Tradycyjne sieci VPN zapewniają dostęp do wszystkich wewnętrznych zasobów. Zero Trust Network Access (ZTNA) zapewnia dostęp do konkretnych aplikacji na podstawie tożsamości i stanu urządzenia, a nie lokalizacji w sieci. ZTNA zastępuje sieci VPN we współczesnych środowiskach korporacyjnych.

Przed jakim zagrożeniem sieć VPN NIE chroni?

Sieci VPN szyfrują ruch między urządzeniem użytkownika a serwerem VPN, chroniąc przed monitorowaniem przez dostawcę usług internetowych i przechwytywaniem ruchu w lokalnej sieci. NIE chronią przed malware, odciskiem palca przeglądarki, śledzeniem konta ani nieuczciwym dostawcą VPN. Należy wybierać dostawców z poddanymi audytowi politykami braku logów. WireGuard jest obecnie preferowanym nowoczesnym protokołem.