VPN thay đổi tuyến mạng; mã hóa đầu cuối thay đổi phạm vi truy cập nội dung tin nhắn. Không công cụ nào bảo đảm kết nối và an toàn tuyệt đối.
VPN và mã hóa đầu cuối không thể thay thế hoàn toàn cho nhau. Với lưu lượng đi qua đường hầm của mình, VPN thay đổi tuyến mạng và một phần thông tin mà các bên trung gian có thể thấy. Mã hóa đầu cuối, hay E2EE, có mục tiêu khác: chỉ các thiết bị được cấp quyền mới đọc được nội dung tin nhắn, chứ không phải máy chủ chuyển tiếp.
Nếu bạn muốn biết «Tôi có còn cần VPN để trò chuyện an toàn không?», trước hết hãy xác định vấn đề: truy cập dịch vụ bị chặn, ẩn địa chỉ IP với đích đến, bảo vệ nội dung khỏi chính dịch vụ nhắn tin hay ngăn người khác truy cập điện thoại? Những câu hỏi này không có cùng một câu trả lời.
VPN, HTTPS và E2EE khác nhau như thế nào?
| Công nghệ | Phạm vi bảo vệ thông thường | Những gì công nghệ này không tự giải quyết được |
|---|---|---|
| VPN | Đường hầm giữa thiết bị và máy chủ VPN đối với lưu lượng nằm trong phạm vi bảo vệ | Mức độ đáng tin của nhà cung cấp VPN, bảo mật của đích đến hoặc tình trạng an toàn của điện thoại |
| HTTPS/TLS | Kết nối được mã hóa giữa ứng dụng hoặc trình duyệt và dịch vụ đích | Quyền truy cập của chính dịch vụ vào dữ liệu mà dịch vụ nhận để xử lý |
| Mã hóa đầu cuối | Nội dung tin nhắn giữa các thiết bị được cấp quyền | Siêu dữ liệu, thiết bị nhiễm mã độc, việc người nhận phát tán lại hoặc gián đoạn mạng |
Các lớp này có thể cùng tồn tại. Một dịch vụ nhắn tin không có E2EE vẫn có thể dùng TLS; vì vậy, không nên kết luận rằng nhà cung cấp VPN chắc chắn đọc được văn bản tin nhắn. Ngược lại, chỉ riêng TLS không che giấu nội dung khỏi chính dịch vụ đích. Hướng dẫn của FTC về kết nối được mã hóa nhắc rằng việc mã hóa đường truyền không bảo đảm đích đến đáng tin cậy.
VPN làm thay đổi khả năng quan sát thông tin ra sao?
Với lưu lượng đi qua đường hầm đúng cách, mạng cục bộ thường thấy kết nối tới VPN, thay vì có cùng khả năng quan sát trực tiếp các đích đến. Dịch vụ đích cũng thường thấy địa chỉ IP đầu ra của VPN. Tuy nhiên, việc đăng nhập tài khoản, cookie hoặc thông tin bạn tự cung cấp vẫn có thể liên kết bạn với hoạt động của mình.
Nhu cầu đặt niềm tin không biến mất; một phần được chuyển sang nhà cung cấp VPN. Loại dữ liệu có thể quan sát và được lưu giữ phụ thuộc vào tuyến mạng, giao thức và chính sách của dịch vụ. Tuyên bố «không lưu nhật ký» cần được đánh giá theo phạm vi chính xác và bằng chứng có thể kiểm chứng. Việc miễn phí hay trả phí tự nó không chứng minh cách một dịch vụ hoạt động. Hướng dẫn chọn VPN của EFF nhấn mạnh những giới hạn này và việc kiểm tra các tuyên bố.
VPN có đọc được tin nhắn đã mã hóa không?
Chỉ riêng việc một tin nhắn E2EE đi qua VPN không cung cấp cho VPN khóa giải mã tin nhắn đó. Câu trả lời này nói về lớp mạng; nếu phần mềm độc hại đã có quyền truy cập rộng trên điện thoại, nó có thể nhắm vào văn bản trước khi mã hóa hoặc sau khi được hiển thị. Rủi ro này cần được xem xét riêng, không gộp với đường hầm VPN.
Giới hạn tương tự cũng áp dụng cho dịch vụ nhắn tin: E2EE không ngăn người nhận chụp màn hình, gửi tệp sang một dịch vụ khác hoặc ngăn mã độc đọc màn hình. Để biết chi tiết, hãy đọc về phạm vi bảo vệ của mã hóa đầu cuối.
Mã hóa của Livara có vai trò gì?
Theo tài liệu bảo mật của nhà cung cấp, Livara dùng LVR1 cho trò chuyện trực tiếp và LGS1 cho các nhóm riêng tư tương thích. Nhóm mới chỉ được tạo ở trạng thái mã hóa khi các thành viên đã sẵn sàng, còn nhóm cũ không tương thích có thể tiếp tục ở ngoài phạm vi E2EE một cách công khai; vì vậy, hãy kiểm tra trạng thái của chính cuộc trò chuyện đó. Các kênh công khai không có phạm vi bảo vệ dành cho trao đổi riêng tư này.
Tài liệu LVR1 mô tả sự kết hợp giữa cơ chế cổ điển P-256 và ML-KEM-768. FIPS 203 của NIST là tiêu chuẩn cho ML-KEM, không phải chứng nhận bảo mật cho toàn bộ sản phẩm Livara. Cũng không nên hiểu tuyên bố về bảo vệ hậu lượng tử là bảo đảm miễn nhiễm vĩnh viễn hay dự đoán thời điểm xuất hiện máy tính lượng tử đủ năng lực.
Theo tài liệu của mình, Livara lưu giữ siêu dữ liệu vận hành và không hứa che giấu kết nối của người dùng tới Livara khỏi sự quan sát của mạng. Nội dung được mã hóa và siêu dữ liệu liên lạc là hai vấn đề riêng biệt; siêu dữ liệu có thể bộc lộ các mẫu hoạt động nhạy cảm ngay cả khi không đọc được văn bản.
Mã hóa có chuyển được tin nhắn khi mất internet không?
Bản thân mã hóa không tạo ra đường liên lạc. Để chuyển tin nhắn, thiết bị phải truy cập được cơ sở hạ tầng cần thiết. Mất mạng hoàn toàn, hạn chế tuyến kết nối quốc tế và chặn một dịch vụ cụ thể là những tình huống khác nhau.
Bài viết này không kiểm tra khả năng truy cập Livara trên các nhà mạng hoặc trong thời gian gián đoạn. Vì vậy, không thể dựa vào tên giao thức để kết luận rằng dịch vụ sẽ hoạt động trong mọi trường hợp mất kết nối, không cần VPN hoặc hoàn toàn ngoại tuyến. Khả năng tạo khóa hay kiểm tra tệp ngoại tuyến cũng không đồng nghĩa với khả năng gửi tin nhắn khi không có kết nối.
Nên đặt câu hỏi nào theo nhu cầu của bạn?
- Tôi muốn dịch vụ nhắn tin không đọc được văn bản: hãy kiểm tra phạm vi E2EE, trạng thái của chính cuộc trò chuyện đó và khả năng bảo vệ bản sao lưu.
- Tôi muốn truy cập một dịch vụ: hãy kiểm tra khả năng kết nối trên mạng thực tế; chỉ mã hóa tin nhắn không thể gỡ bỏ việc chặn truy cập.
- Tôi muốn đích đến không thấy địa chỉ IP trực tiếp của mình: tuyến mạng có vai trò quan trọng, nhưng tài khoản và các mã định danh khác vẫn tồn tại.
- Tôi lo điện thoại bị nhiễm mã độc: hãy kiểm tra quyền của ứng dụng, các bản cập nhật và quyền truy cập màn hình hoặc thông báo; VPN và E2EE không phải biện pháp chữa mã độc.
- Tôi lo tải phải phiên bản ứng dụng giả: hãy kiểm tra nguồn tải và chữ ký của bản phát hành. Đối chiếu hàm băm với giá trị lấy từ nguồn đáng tin là hữu ích, nhưng tự nó không phải một cuộc kiểm toán bảo mật.
Câu hỏi thường gặp
Dùng đồng thời VPN và dịch vụ nhắn tin E2EE có vô ích không?
Không. Mỗi công cụ có thể đáp ứng một nhu cầu khác nhau. Hãy quyết định dựa trên mô hình mối đe dọa và điều kiện kết nối, không dựa trên lời hứa «an toàn tuyệt đối» của một công cụ.
E2EE có ẩn toàn bộ siêu dữ liệu không?
Không. Thời điểm, dung lượng lưu lượng, tuyến mạng và thông tin vận hành vẫn có thể được quan sát hoặc lưu trữ; chi tiết phụ thuộc vào thiết kế sản phẩm.
VPN có luôn thấy nội dung của dịch vụ nhắn tin không có E2EE không?
Không. Kết nối TLS có thể che nội dung khỏi bên trung gian trên mạng, dù dịch vụ đích vẫn có thể đọc được. Đừng nhầm việc không có E2EE với việc không có bất kỳ hình thức mã hóa nào.
