Wady usługi VPN

Słowem wstępu przypomnę, czym jest VPN (ang. akronim „Wirtualnej Sieci Prywatnej)? Wirtualna Sieć Prywatna, to niefizyczna, a właśnie forma wirtualnej sieci komputerowej. Istnieją dwie formy wykorzystania VPN: a) do szyfrowania połączenia internetowego, b) do szyfrowania połączenia internetowego łączącego się z siecią lokalną, np. firmy. W tym artykule zajmę się pierwszą formą wykorzystania.

Korzyści z VPN przy internetowej łączności

Gdy korzystasz z internetu, przeglądasz strony, wysyłasz emaile, oglądasz filmy i tak dalej, przy włączonym VPN, cała transmisja internetowa jest zaszyfrowana i nikt postronny nie może jej podejrzeć, np. haker w publicznej sieci WiFi. VPN ukrywa twój prawdziwy numer IP, który jest swego rodzaju adresem w internecie, umożliwiającym twoje łatwe namierzenie. W połączeniu z szyfrowanym DNS, twój dostawca internetu nie sprawdzi oglądanych przez ciebie stron WWW.

VPN znacząco poprawia bezpieczeństwo przesyłanych danych. Najlepiej jest uruchomić własną sieć VPN i nie jest to trudne, ale nadal wymaga nieco cyfrowych kompetencji w zakresie IT i bezpieczeństwa sieci. Najłatwiej uruchomić VPN w domu będzie skorzystanie z usług firm trzecich. Rejestrując konto użytkownika, ściągasz aplikację, kilka minut i gotowe. Masz działający VPN w domu.

Przesyłając swoje dane przez VPN firmy trzeciej, przesuwasz „zaufanie” od swojego dostawcy internetu (ISP), do dostawcy VPN. Zamiast ISP, to dostawca VPN technicznie może mieć wgląd do wszystkiego co robisz w sieci. Dlatego warto wybierać tych dostawców, którzy oferują usługę w ramach zasady „zero-knowledge”, czyli polsku „brak wiedzy”. Taka adnotacja musi oznaczać, że klucze szyfrujące są tylko na twoich urządzeniach podłączonych do VPN i ich nie opuszczają, a więc dostawca VPN i nikt obcy nie jest wstanie zobaczyć twojego ruchu internetowego.

Wady usług VPN firm trzecich

Opiszę tutaj wady usług VPN, które dotyczą tylko dostawców usług VPN. W artykule „VPN - Bezpieczny Internet w domu bez podsłuchu” opisuję wady nieco z innej perspektywy. Opisywane tutaj wady raczej nie będą dotyczyć VPN zainstalowanej u siebie w domu, tj. nie korzystając z usług firm trzecich.

Zaufanie. Przekazujesz swoją internetową transmisję przez serwery firmy trzeciej dostarczającej „Wirtualną Sieć Prywatną” VPN. Musisz zdobyć wiedzę o niej, jak dba ona o prywatność i bezpieczeństwo użytkowników. Poszukaj w sieci negatywnych informacji o wyciekach danych, złych praktykach tej firmy. Jeśli nic nie znajdziesz, to jest to dobry znak.
Współdzielone numery IP. Usługa VPN kamufluje twój prawdziwy numer IP, gdy cały twój ruch przechodzi przez obcy serwer, który ma inny numer IP. Pod względem prywatności i bezpieczeństwa to duża zaleta, ale są też wady. Wielu użytkowników VPN wchodzi na strony internetowe mając ten sam numer IP. Systemy zabezpieczeń tych stron WWW uważają taki ruch za nienaturalny i stwarzający zagrożenie. Efektem będzie albo całkowita blokada wejścia na daną stronę WWW, albo konieczność rozwiązania zadania Captcha.
Często zmieniane numery IP. Z jednej strony to dobrze, ale z drugiej nie dobrze. Sieci VPN są wykorzystywane przez użytkowników w nie zawsze dobrych celach, czasami dany numer IP zostaje permanentnie zablokowany przez serwer WWW lub inną usługę. Korzystając z VPN nieraz ma się zablokowany dostęp do stron i innych usług, dlatego sieci VPN zmieniają numery IP. Dostępność nowych adresów IP jest ograniczona, są one zdobywane na giełdach, czy w inny sposób bezpośrednio od globalnych dostawców numerów IP. Efektem może być identyfikowanie ciebie np. przez Google, że w tej chwili jesteś w innym kraju, np. Arabii Saudyjskiej i widzisz treść na YouTube z tamtego kraju.
Niejasne zasady korzystania i zła jurysdykcja. Rejestrując konto użytkownika musisz zgodzić się na warunki, które nie zawsze są korzystne. Kontrola jest podstawą zaufania, a więc skoro musisz zaufać takiej firmie przekazując transmisję internetową przez ich serwery, to dobrze jest przeczytać regulamin usługi – szczególnie kwestie bezpieczeństwa, przetwarzania danych, prywatności, udostępniania danych osobom trzecim. Dostawca VPN musi działać zgodnie z prawem, dlatego jurysdykcja państwa, pod jakim ta usługa działa też ma znaczenie. Nie tylko kraje totalitarne, ale również demokratyczne (np. USA, kraje UE, Australia, Kanada) inwigilują i wymagają pewnego dostępu do danych. Republiki „bananowe”, czy raje podatkowe, które nie należą do inwigilacyjnej sieci np. „14-Oczu”, to dobre jurysdykcje.

Jak się chronić przed wyciekiem danych osobowych?

Wiedza o tobie. Im mniej dostawca VPN wie o tobie tym lepiej. Twój email, numer telefonu, dane karty płatniczej, adres IP, skrypty śledzące to elementy, które negatywnie wpływają na utrzymanie prywatności w sieci i bezpieczeństwa. Dostawca VPN nie powinien używać skryptów śledzących (marketingowych cookies, cyfrowego odcisku palca itp.) oraz powinien dawać możliwość zakładania konta bez użycia adresu email i umożliwić płatność kryptowalutami.
Brak „Warrant canary”. Co to jest „Warrant canary”? Po wejściu na stronę dostawcy VPN, gdy nie widzisz podstrony o tym tytule, musi zapalić się tobie „czerwona lampka”. Na tej podstronie dostawca publikuje informacje, czy i w jakiej ilości otrzymuje wezwania od państwowych służb do udostępnienia informacji o użytkownikach. Gdy dostawca nie udostępnił żadnej informacji służbom w ostatnim roku, to jest godny polecenia. Służby państwowe wiedzą, że wezwanie będzie bezskuteczne jeśli dostawca nie ma możliwości odszyfrowania danych i niewiele ma do przekazania.
Brak aplikacji „open source”. Aby połączyć się z VPN dostawcy, najczęściej musisz ściągnąć aplikację np. na smartfona. Aplikacja „otwartego źródła” daje możliwość podejrzenia jej konstrukcji i działania przez każdego chętnego. W takich aplikacjach trudno jest przemycić szkodliwy dla użytkownika i jego prywatności kod. Nie korzystaj z usług VPN gdy aplikacje nie są otwartego źródła.

Samodzielnie musisz odpowiedzieć sobie na pytanie „Przed czym lub kim chcesz się chronić?” i na tej podstawie dobierać rozwiązania ochrony prywatności i bezpieczeństwa danych, w tym wybór dostawcy VPN, czy stworzenie własnego VPN. W serwisie „Selfhosty” opisuję różne sposoby na ochronę w sieci, ich wady i zalety. Tylko paranoik starałby się wdrożyć wszystkie rozwiązania w życie. Odpowiedź na wyżej wspomniane pytanie, da tobie wskazówkę, jakie rozwiązania należy wdrożyć.

Aktualizacja

W roku 2024 ujawniono problem z bezpieczeństwiem za pośrednictwem VPN, choć sam system ochrony VPN nie został złamany. Owy atak nazwano „TunnelVision”. VPN nadal jest bezpieczny, ale nie można tak powiedzieć o innym, sieciowym narzędziu IT - serwerze DHCP. Aby sieci komputerowe działały, w tym również VPN używa się do tego celu serwera DHCP. Ujawniono że jeśli do tej samej sieci komputerowej LAN co ty podłączy się oszust, który będzie wstanie przekierować ruch DHCP do siebie, wtedy dane będą przesyłane z ominięciem VPN. Takie dane mogą być nadal szyfrowane np. dzięki HTTPS, ale zagrożenie wycieku danych wzrasta, również poprzez zbieranie metadanych (co wiąże się z utratą prywatności). Atak „TunnelVision” może być pierwszym krokiem przed użyciem bardziej inwazyjnych działań wobec osoby będącej na celowniku przestępców lub państwowych służb specjalnych.