VPN selitettynä rehellisesti: mihin se auttaa ja mihin ei

VPN-mainonta on yksi verkon näkyvimmistä. Viesti on tuttu: ilman VPN:ää olet altis hakkereille, kuka tahansa kahvilassa voi lukea pankkitunnuksesi ja identiteettisi on kaupan. Suurin osa tästä oli osittain totta noin vuonna 2012 ja on nyt joko vanhentunutta tai suoraan väärin.

Samaan aikaan vastareaktio on mennyt yhtä pitkälle toiseen suuntaan: "VPN on täysin turha". Sekään ei pidä paikkaansa. VPN on kapea työkalu, joka ratkaisee kapean ongelman hyvin.

Tässä artikkelissa käydään läpi mitä VPN teknisesti tekee, mitä se ei tee, ja millä perusteella voit päättää tarvitsetko sellaista. Mitään palvelua ei suositella nimeltä.

Mitä VPN teknisesti tekee

VPN eli virtuaalinen erillisverkko (virtual private network) rakentaa laitteesi ja palveluntarjoajan palvelimen välille salatun tunnelin. Laitteellesi asennettu ohjelma ottaa kaiken verkkoliikenteen, salaa sen ja lähettää sen tunnelin läpi.

VPN-palvelimella liikenne puretaan ja lähetetään eteenpäin kohteeseensa aivan tavallisesti. Vastaus tulee takaisin samaa reittiä. Ketju on siis kaksiosainen:

1. Sinä ja VPN-palvelin: kaikki salattua, myös se mihin osoitteeseen olet menossa.
2. VPN-palvelin ja kohdesivusto: aivan tavallista liikennettä, jossa on täsmälleen sama suojaus kuin ilman VPN:ää.

Tästä seuraa kaksi näkyvää vaikutusta. Kohdesivusto näkee VPN-palvelimen IP-osoitteen sinun osoitteesi sijaan. Ja lähiverkkosi sekä operaattorisi näkevät vain, että olet yhteydessä johonkin VPN-palvelimeen.

VPN ei tee liikenteestäsi turvallisempaa. Se vaihtaa sen, kuka näkee liikenteesi ensimmäisenä.

Mitä HTTPS jo suojaa ja mitä VPN lisää sen päälle

Tämä on koko aiheen ratkaiseva kohta. Kun selaimessa lukee osoitteen edessä https, yhteys sivustolle on salattu TLS-protokollalla. Salaus alkaa laitteeltasi ja päättyy palvelimelle.

HTTPS suojaa siis jo valmiiksi sen, mitä useimmat luulevat VPN:n suojaavan: kirjautumistiedot, lomakkeiden sisällön, viestit, ostokset. Kukaan reitin varrella ei näe niitä, oli välissä VPN tai ei.

Mitä HTTPS ei piilota, on kenen kanssa puhut. Verkkotunnus vuotaa yhä DNS-kyselyistä ja yhteyden avausvaiheesta, samoin liikenteen määrä ja ajoitus. Tämän VPN piilottaa lähiverkolta ja operaattorilta.

Yhteenveto on lyhyt: VPN piilottaa metatiedon, ei sisältöä, koska sisältö oli jo salattu. Jos joku myy VPN:ää sillä, että se estää salasanojesi varastamisen, myyntipuhe on vanhentunut noin vuosikymmenen.

Mitä operaattorisi näkee VPN:n kanssa ja ilman

Operaattori on se yritys, jonka verkkoa käytät: mobiililiittymän tarjoaja tai kotisi laajakaistayhtiö. Sen näkymä muuttuu VPN:n myötä selvästi.

Ilman VPN:ää operaattori näkee yhteydenottosi kohteet: mille palvelimille otat yhteyttä ja milloin, sekä DNS-kyselysi jos käytät operaattorin nimipalvelinta. Se ei näe sivujen sisältöä eikä salasanojasi, koska ne ovat HTTPS-salattuja.

VPN:n kanssa operaattori näkee yhden yhteyden yhteen osoitteeseen, ympärivuorokautisesti, ja liikenteen määrän. Ei mitään muuta. Sama tieto siirtyy kuitenkin sellaisenaan VPN-yhtiölle, joka näkee nyt sen mitä operaattori ennen näki.

Kannattaa huomata, että Suomessa operaattorit ovat sääntelyn ja viestintäsalaisuuden piirissä. Se ei tee niistä täydellisiä, mutta vertailukohta VPN-yhtiöön ei ole "sääntelemätön toimija vastaan sääntelemätön toimija".

Julkinen wifi: miksi kahvila-argumentti on suurelta osin vanhentunut

Klassinen myyntitarina kuuluu, että kahvilan wifissä vieressä istuva ihminen voi lukea liikenteesi. Argumentti syntyi aikana, jolloin merkittävä osa sivustoista oli salaamattomia ja kirjautumislomakkeet lähettivät salasanan selkokielisenä.

Kaksi asiaa on muuttunut. Selaimet varoittavat nyt näkyvästi salaamattomista sivuista, ja käytännössä kaikki palvelut, joihin kirjaudut, käyttävät HTTPS:ää. Lisäksi nykyaikaiset wifi-verkot käyttävät salausta, joka estää naapuria lukemasta liikennettäsi suoraan ilmasta.

Mitä riskiä jää jäljelle? Verkon ylläpitäjä tai verkon esittäjäksi tekeytynyt näkee silti, mille palvelimille otat yhteyttä. Salaamattomia yhteyksiä voidaan yrittää ohjata väärään paikkaan. Ja tuntemattoman verkon laitteet voivat yrittää ottaa yhteyttä omaan laitteeseesi.

Käytännön johtopäätös: julkisessa verkossa VPN on kohtuullinen lisävarmuus, ei hätätila. Suurempi hyöty tulee siitä, että laitteesi on päivitetty, käytössä on kaksivaiheinen tunnistautuminen, etkä ohita selaimen sertifikaattivaroituksia.

IP-osoitteen piilottaminen: mitä siitä oikeasti seuraa

VPN vaihtaa IP-osoitteesi. Mainoksissa tästä seuraa, että "sinua ei voi enää seurata". Todellisuudessa IP-osoite on nykyään yksi tunniste monien joukossa, eikä läheskään tärkein.

Suurin osa seurannasta perustuu muuhun. Evästeet ja selaimen paikallinen tallennustila tunnistavat selaimesi käyntien välillä. Kirjautuminen tunnistaa sinut nimeltä: jos olet kirjautuneena sähköpostiin tai sosiaaliseen mediaan, VPN ei muuta yhtään mitään. Selaimen sormenjälki (browser fingerprinting) yhdistää näytön koon, kielen, aikavyöhykkeen, fonttien ja laajennusten yhdistelmän tunnisteeksi, joka on yllättävän usein yksilöivä.

Näiden lisäksi VPN itse voi paljastaa sinut: maksutapa, sähköpostiosoite jolla tilin loit ja käyttötottumuksesi liittyvät samaan tiliin.

VPN on siis hyvä poistamaan passiivisen sivustakatsojan näkyvyyttä ja huono poistamaan vastapuolen näkyvyyttä. Ero on olennainen.

Maasijainnin vaihtaminen ja suoratoistopalvelut

Sama mekanismi selittää VPN:n yleisimmän todellisen käyttötarkoituksen, joka ei liity turvallisuuteen lainkaan. Palvelut päättelevät sijaintisi IP-osoitteesta, joten VPN-palvelimen osoite saa sinut näyttämään toisen maan käyttäjältä ja esiin tulee sen maan sisältövalikoima.

Kaksi varausta kannattaa tietää. Suoratoistopalveluiden käyttöehdot yleensä kieltävät sijainnin kiertämisen, joten kyse ei ole harmaasta alueesta vaan ehtojen vastaisesta käytöstä, jonka seurauksena tili voidaan rajoittaa. Palvelut myös tunnistavat aktiivisesti tunnettuja VPN-palvelinten osoitteita ja estävät ne, joten toimivuus vaihtelee eikä sitä voi luvata etukäteen.

Sama tekniikka on arkinen ja ongelmaton siinä tilanteessa, että olet ulkomailla ja haluat käyttää suomalaista palvelua, jonka olet maksanut ja johon sinulla on oikeus.

Omaperäinen osio: suojaako VPN tältä

Alla oleva taulukko on kirjoitettu niin, että voit tarkistaa siitä yksittäisen väitteen. Arvio koskee VPN:n perustoiminnallisuutta ilman erikseen ostettavia lisäominaisuuksia.

Sääntö, jonka voi lukea taulukosta: VPN auttaa silloin, kun uhka on reitin varrella. Se ei auta, kun uhka on laitteellasi, selaimessasi tai vastapuolen palvelimella.

Luottamus siirtyy operaattorilta VPN-yhtiölle

Lähes jokainen VPN-palvelu lupaa, ettei se pidä lokeja käyttäjien liikenteestä. Lupaus on halpa antaa ja vaikea todentaa.

Perusongelma on tekninen. Liikenne kulkee palveluntarjoajan palvelimen läpi, joten sillä on periaatteessa pääsy siihen. Ainoa asia, joka estää tallentamisen, on yhtiön oma päätös olla tallentamatta. Ulkopuolinen ei voi lukea tätä palvelimen ulkopuolelta.

Osa palveluista teettää riippumattomia auditointeja. Ne ovat parempi kuin ei mitään, mutta auditointi on otos yhdestä hetkestä, ei jatkuva takuu. Se kertoo, miltä järjestelmä näytti tarkastuspäivänä.

Ilmaisissa palveluissa kysymys on suoraviivaisempi. Palvelimet, kaistanleveys ja ylläpito maksavat, joten raha tulee jostain. Tyypillisiä malleja ovat käyttötietojen myynti mainonnan kohdentamiseen, liikenteen välittäminen kolmansille osapuolille, mainosten lisääminen ja maksullisen version myynti. Näistä ensimmäiset kolme ovat suoraan ristiriidassa sen kanssa, mihin ihmiset VPN:ää ostavat.

Käytännön nyrkkisääntö: jos et tiedä mistä palvelun raha tulee, oletusarvo on että se tulee sinusta.

Milloin VPN on aidosti perusteltu

Nämä ovat tilanteita, joissa VPN ratkaisee oikean ongelman oikealla tavalla.

1. Sensuroitu tai suodatettu verkko. Jos verkko estää pääsyn sivustoille, salattu tunneli ulos on täsmälleen oikea työkalu. Tämä on myös se käyttötapa, jossa palveluntarjoajan valinnalla on eniten merkitystä.
2. Verkko, jonka ylläpitäjään et luota. Hotelli, lentokenttä, tapahtuma-alue tai naapurin jakama yhteys. Riski ei ole dramaattinen, mutta VPN poistaa sen kertaheitolla.
3. Työyhteys yrityksen sisäverkkoon. Tämä on eri tuote kuin kuluttajille myytävä VPN, vaikka nimi on sama. Yritys-VPN yhdistää laitteesi työnantajan verkkoon, jotta pääset käsiksi sisäisiin järjestelmiin. Sen tarkoitus ei ole yksityisyytesi vaan pääsynhallinta, ja liikenne kulkee työnantajan valvonnassa.
4. Oman operaattorin näkyvyyden rajoittaminen. Jos et halua operaattorisi kokoavan tietoa siitä mihin palveluihin otat yhteyttä, VPN on suora ratkaisu. Hyväksyt samalla, että VPN-yhtiö saa saman näkymän.

Ja tässä lista siitä, mihin VPN ei ole ratkaisu: virustorjunta, huijausviestien tunnistaminen, tietojenkalastelun torjunta, salasanahygienia ja se, mitä tapahtuu tiedoillesi, kun palvelu, jonne olet ne antanut, joutuu tietovuodon kohteeksi.