Jak działa VPN?

Wirtualna sieć prywatna (VPN) szyfruje Twoje połączenie internetowe i przekierowuje dane przez odległy serwer VPN. W rezultacie VPN zapewnia prywatność podczas przeglądania, zmienia Twój adres IP oraz lokalizację i chroni Cię w publicznych sieciach Wi-Fi.

Czy wiesz jednak jak dokładnie działa VPN? Przekonaliśmy się, że lepsze zrozumienie tego, co dzieje się, kiedy nawiązujesz połączenie z serwerem VPN, pomaga w pełni wykorzystać potencjał tego łatwego w użyciu, a zarazem potężnego oprogramowania.

W ten sposób VPN pozwala Ci zamaskować swój adres IP na odwiedzanych stronach internetowych. Ponadto oprogramowanie VPN umożliwia ukrycie swojej aktywności w sieci przed dostawcą usług internetowych, administratorem sieci Wi-Fi lub innymi osobami monitorującymi Twoje połączenie.

Zasadniczo to wszystko, co musisz wiedzieć, aby zacząć korzystać z usług VPN. Kontynuuj czytanie, jeśli chcesz lepiej zrozumieć, jak dokładnie działa VPN i jak w pełni wykorzystać potencjał tego oprogramowania.

Poniższy diagram ilustruje, jak typowe połączenie VPN obsługuje Twój ruch internetowy:

Poniżej znajdziesz poszczególne etapy tego procesu przedstawione w stosownej kolejności. Należy zauważyć, że kroki 1-3 składają się na „uzgadnianie VPN”, podczas gdy kroki 8-10 są kontynuowane przez całą sesję VPN.

Powyższe kroki pozwalają ogólnie zrozumieć, jak działa VPN. Dokładna implementacja zależy jednak od użytego protokołu VPN oraz tego, jak usługodawca skonfigurował sieć.

Skorzystaj z linków lub kontynuuj czytanie, aby dowiedzieć się więcej na temat poszczególnych etapów połączenia VPN.

Kontakt początkowy – oprogramowanie klienckie i serwer VPN

Kontakt początkowy zachodzi w następujący sposób:

Po wykonaniu tych kroków może rozpocząć się proces uzgadniania, mający na celu pełną konfigurację szyfrowania. Oto jak najpopularniejsze protokoły VPN obsługują wymiany początkowe:

• OpenVPN, SSL/TLS, SSTP:
  • Klient wysyła pakiet Client Hello.
  • Serwer odpowiada za pomocą pakietu Server Hello.
• WireGuard:
  • Klient i serwer inicjują uzgadnianie i wymieniają wiadomości.
  • Wiadomości zawierają efemeryczne klucze publiczne oraz parametry kryptograficzne.
• L2TP/IPSec i IKEv2:
  • Klient i serwer wymieniają pakiety inicjujące IKE (Internet Key Exchange) IKE_SA_INIT.

Wiele renomowanych VPN-ów oferuje też własne protokoły, które zostały stworzone na podstawie WireGuard lub OpenVPN i stosują podobny proces inicjacji, jak ich protokoły bazowe.

Oto przykładowy pakiet inicjujący połączenie OpenVPN:

^{Wróć do listy etapów połączenia VPN ↩}

Uwierzytelnianie – oprogramowanie klienckie i serwer VPN

Etap uwierzytelniania gwarantuje, że klient połączy się wyłącznie autentycznym serwerem VPN. Metody uwierzytelniania różnią się złożonością i poziomem bezpieczeństwa. Często łączą w sobie różne techniki, aby zapewnić użytkownikowi niezawodne połączenie.

Choć protokoły VPN takie jak OpenVPN czy IPSec oferują wysoki poziom konfigurowalności, większość procesów uwierzytelniania obejmuje jakąś kombinację certyfikatów, wstępnie współdzielonych kluczy (PSK) oraz weryfikacji nazwy użytkownika/hasła.

Protokół VPN	Główne metody uwierzytelniania	Kluczowe funkcje
OpenVPN	Uwierzytelnianie na podstawie certyfikatu, nazwy użytkownika i hasła	Korzysta z HMAC do uwierzytelniania pakietów, tworzy osobny kanał kontrolny TLS do ciągłego uwierzytelniania sesji.
WireGuard	Kryptografia klucza publicznego	Brak tradycyjnego procesu uzgadniania – uwierzytelnianie odbywa się w ramach pierwszego wysłanego pakietu i wykorzystuje wstępnie współdzielone klucze prywatne oraz publiczne dla każdego peera.
IKEv2	Wstępnie współdzielone klucze (PSK), certyfikaty cyfrowe X.509, uwierzytelnianie na podstawie użytkownika przez EAP (Extensible Authentication Protocol)	Obsługuje uwierzytelnianie sekwencyjne dla lepszego poziomu bezpieczeństwa i stosuje zaszyfrowane pakiety IKE_AUTH dla prywatności.
L2TP/IPSec	Uwierzytelnianie dwuetapowe: L2TP uwierzytelnia punkty końcowe VPN, IPSec uwierzytelnia użytkownika	L2TP korzysta z metod PPP (Point-to-point Protocol) (np. PAP, CHAP, MS-CHAP), IPSec ustanawia zaszyfrowany tunel przed uwierzytelnianiem L2TP, co zapewnia ogólne bezpieczeństwo.

^{Wróć do listy etapów połączenia VPN ↩}

Wymiana kluczy VPN

Wymiana kluczy to proces kryptograficzny, podczas którego strony ustanawiają współdzielony klucz za pośrednictwem niezabezpieczonego kanału komunikacji, jednak bez przesyłania samego klucza.

Ten współdzielony klucz umożliwia szyfrowanie symetryczne dalszej komunikacji, poprzez bezpieczny tunel VPN między klientem a serwerem.

Aby dowiedzieć się, jak działają różne metody wymiany kluczy, sprawdź sekcję na temat uzgadniania VPN.

Tutaj omówimy, jak najpopularniejsze protokoły VPN przeprowadzają wymianę kluczy:

Jak widać, metody wymiany kluczy różnią się między protokołami pod względem złożoności, wydajności i co najważniejsze – bezpieczeństwa.

Ta elastyczność umożliwia dostosowanie usług VPN do różnych celów. Warto jednak pamiętać, że większa złożoność to większe prawdopodobieństwo błędnej konfiguracji przez mniej doświadczonych programistów, co może skutkować lukami w zabezpieczeniach.

Sprawdź nasze badanie darmowych usług VPN na Androida pod kątem luk w zabezpieczeniach – znajdziesz tam mnóstwo przykładów.

^{Wróć do listy etapów połączenia VPN ↩}

Utworzenie tunelu VPN

Po zakończeniu procesu uzgadniania VPN tworzony jest bezpieczny tunel między oprogramowaniem klienckim a serwerem.

Aby dowiedzieć się więcej o tunelach VPN, sprawdź sekcję na temat tunelów VPN. Tutaj skupimy się na ogólnym procesie tworzenia tunelu oraz na tym, jak obsługują go różne protokoły.

Oto jak najpopularniejsze protokoły VPN obsługują proces tworzenia tunelu VPN:

• OpenVPN:
  • Korzysta z interfejsu VNI tun/tap, konfigurowalnego dla trybów IP lub Ethernet (warstwa 2).
  • Wymienia adresy IP, trasy i inne ustawienia sieciowe.
  • Aktywuje tunel VPN i przekierowuje ruch przez VNI.
  • Ustawia dodatkowe funkcje, jak kompresja czy fragmentacja, jeśli są skonfigurowane.
• WireGuard:
  • Stosuje minimalistyczny sposób konfiguracji tunelu skoncentrowany na wydajności i wymagający jedynie niskich nakładów w porównaniu z innymi protokołami.
  • Tworzy prosty interfejs VNI, zwykle o nazwie wg0.
  • Może nieustannie wysyłać pakiety keepalive, aby utrzymać połączenie.
• L2TP/IPSec:
  • Warstwa IPSec tworzy tunel dla pakietów L2TP.
  • Ustanawia połączenie kontrolne L2TPw tunelu IPSec.
  • Tworzy sesję L2TP do transmisji danych.
  • Aktywuje tunel VPN i kieruje ruch przez tunel L2TP chroniony za pomocą IPSec.
• IKEv2:
  • Ustanawia tunel IPSec.
  • Może kierować różne przepływy ruchu przez dodatkowy kanał IPSec Child SA.

^{Wróć do listy etapów połączenia VPN ↩}

Przypisanie adresu IP

Przypisanie nowego adresu IP to kluczowy etap w procesie nawiązywania połączenia VPN. Aby dowiedzieć się więcej o maskowaniu IP, sprawdź sekcję na temat tego, jak VPN ukrywa adres IP.

Każdy protokół VPN przypisuje adres IP w nieco inny sposób. Poniżej zobaczysz, jak robią to najpopularniejsze z nich:

W ramach tego procesu tablica trasowania Twojego urządzenia jest aktualizowana, aby wysyłać ruch między Twoim urządzeniem a serwerem VPN poprzez zwykłe połączenie internetowe. Następnie dodawane są nowe reguły mające na celu wysyłanie pozostałego ruchu internetowego przez tunel serwera VPN w drodze do miejsca docelowego.

Jeśli dzielone tunelowanie jest dostępne i włączone w oprogramowaniu klienckim, kolejne reguły zostaną dodane do tablicy trasowania urządzenia, aby wysyłać ruch z wybranych aplikacji poza tunel i poprzez zwykłe połączenie internetowe.

^{Wróć do listy etapów połączenia VPN ↩}

Rozwiązanie DNS

Aby zapewnić Ci całkowitą prywatność w Internecie, VPN przekierowuje Twoje zapytania DNS przez zaszyfrowany tunel wraz z resztą ruchu. Preferujemy, jeśli sieć VPN ma własne serwery DNS i nie korzysta z serwerów należących do dostawcy usług internetowych ani innych podmiotów trzecich.

W przeciwnym razie może dopuszczać do wycieków DNS, które stanowią zagrożenie dla Twojej prywatności.

Oto jak najpopularniejsze protokoły VPN chronią rozwiązywanie DSN:

Jak widać, wybór protokołu VPN ma istotny wpływ na obsługę DNS, co z kolei przekłada się na funkcjonalność i poziom bezpieczeństwa Twojej sieci VPN.

Nowoczesne protokoły VPN zapewniają solidne zabezpieczenia DNS, ale istnieje wysokie ryzyko, że mniej doświadczony administrator może je źle skonfigurować.

Co więcej, dość często usługodawcy, zwłaszcza oferujący darmowe sieci VPN nie inwestują we własne serwery DNS. Oznacza to, że nawet jeśli zapytania DNS przechodzą przez tunel VPN, nadal mogą zostać zarejestrowane przez właścicieli zewnętrznych serwerów DNS.

Nasze najnowsze badania wykazały, że ponad 80% darmowych usług VPN na Androida w jakiś sposób dopuszcza do wycieków DNS.

^{Wróć do listy etapów połączenia VPN ↩}

Transmisja danych, szyfrowanie i odszyfrowywanie

Po nawiązaniu bezpiecznego połączenia klient szyfruje Twoje dane i wysyła je przez tunel do serwera VPN. Serwer odszyfrowuje te dane i przekazuje je do miejsca docelowego, czyli strony internetowej lub aplikacji, którą chcesz otworzyć.

Odpowiedzi od serwerów docelowych są otrzymywane i szyfrowane przez serwer VPN, a następnie wysyłane z powrotem przez tunel, by mogły zostać odszyfrowane przez klienta.

Specyficzny szyfr wraz ze strukturą pakietów i sposobem ich obsługi są determinowane przez wybrany protokół VPN. Aby dowiedzieć się więcej na temat szyfrowania VPN, sprawdź sekcję wyjaśniającą, jak działa szyfrowanie VPN.

Poniższa tabela porównuje, jak popularne protokoły VPN transmitują, szyfrują i odszyfrowują dane. Wciśnij przycisk, aby ją rozwinąć, a następnie przewiń w dół, aby zobaczyć, jak poszczególne protokoły radzą sobie z różnymi aspektami danego procesu.

Bez VPN-u Twoje urządzenie łączy się bezpośrednio z serwerem witryny, który potrzebuj Twojego adresu IP, aby wysłać z powrotem żądaną zawartość.

Twój adres IP to unikatowy identyfikator internetowy, coś w rodzaju cyfrowego paszportu. Informuje on inne komputery, gdzie wysłać informacje.

IP ujawnia pewne dane identyfikacyjne, w tym Twoją lokalizację i aktywność online. Wiele osób korzysta z usług VPN, aby ukryć te dane.

Połączenie VPN przekierowuje Twój ruch przez odległy serwer, zanim trafi on na żądaną stronę internetową.

Twój prawdziwy adres IP pozostaje ukryty, ponieważ witryny wchodzą w interakcje wyłącznie z adresem IP serwera VPN. Wysyłają one informacje do serwera VPN, który następnie przekazuje je do Twojego urządzenia.

 

Korzyści wynikające z maskowania adresu IP:

• Uniemożliwienie stronom internetowym i reklamodawcom bezpośrednie monitorowanie Twojej aktywności w sieci.
• Odblokowywanie treści z ograniczeniami geograficznymi poprzez prezentowanie swojego ruchu jako pochodzącego z innego kraju.
• Utrudnienie hakerom zaatakowania Twojego urządzenia lub sieci.

Tunel VPN to po prostu bezpieczny kanał ustanowiony między Twoim urządzeniem a serwerem VPN, który stanowi prywatną ścieżkę poprzez publiczny Internet.

Nazywany jest tak, ponieważ szyfruje oryginalny ruch i zawija go w warstwę ruchu nieszyfrowanego.

To tak, jakby wziąć kopertę z listem w środku i umieścić ją w drugiej kopercie z nowym adresem. Twoja wiadomość staje się niemożliwa do odczytania dla każdego, kto mógłby ją przechwycić.

Proces ten nazywa się hermetyzacją i jest on wykonywany przez specjalne protokoły tunelowania.

Szyfrowanie VPN

Szyfrowanie przekształca jawny tekst w tajny kod, który mogą odczytać wyłącznie posiadacze klucza umożliwiającego jego odszyfrowanie.

VPN stosuje szyfrowanie, aby ukryć aktywność między Twoim urządzeniem a serwerem VPN, co chroni Cię przed różnymi formami inwigilacji.

Usługi VPN stosują szyfry, aby przekształcić Twoją aktywność online w niemożliwy do odczytania kod. Szyfr to matematyczny algorytm (zbiór reguł), który szyfruje i odszyfrowuje informacje, zwykle w połączeniu z kluczem o określonej długości.

Klucz to ciąg znaków używany do zmiany szyfrowanych danych. Tylko osoba, która ma ten sam klucz, może je odszyfrować.

Zasadniczo, dłuższy klucz zapewnia większe bezpieczeństwo. Przykładowo, AES-256 jest uważany za bezpieczniejszy od AES-128.

Niektóre protokoły VPN korzystają z kluczy statycznych zaprojektowanych do długotrwałego użytku, podczas gdy inne stosują klucze efemeryczne, które wygasają po jednej sesji bądź transakcji.

Jak działają szyfry:

1. Szyfr korzysta z klucza, aby zaszyfrować dane przed ich wysłaniem.
2. Ten sam lub powiązany klucz zostaje użyty do odszyfrowania danych po stronie odbiorcy.
3. Tylko posiadacze odpowiedniego klucza mogą odszyfrować i przeczytać informacje.

Szyfr używany przez usługę VPN zwykle zależy od tego, w jakim stopniu jej twórcy priorytetyzują bezpieczeństwo ponad wydajność. Silniejsze szyfry wymagają raczej większej mocy obliczeniowej.

Z czasem pojawiają się też nowe szyfry, które są wdrażane przez usługi wyższej jakości.

Najpopularniejsze szyfry stosowane przez usługi VPN to:

• Advanced Encryption Standard (AES)
  • Złoty standard szyfrowania online
  • Dostępny w wersjach o 128 i 256-bitowej długości klucza
  • AES-256 jest preferowany ze względu na silniejszą ochronę
  • Uważany za odporny na ataki kwantowe
• Blowfish
  • Zaprojektowany w 1993 roku, w dużej mierze zastąpiony przez AES-256
  • Długość klucza to 128 bitów (możliwe zastosowanie od 32 do 448 bitów)
  • Ma znane luki
  • Używany jako rozwiązanie awaryjne dla AES-256
• ChaCha20
  • Nowszy szyfr zyskujący na popularności
  • Długość klucza to 256 bitów
  • Poziom bezpieczeństwa porównywalny do AES-256
  • Lepsza wydajność, zwłaszcza na urządzeniach mobilnych
• Camellia
  • Stworzony w 2000 roku
  • Bezpieczeństwo i prędkość porównywalne do AES
  • Nie jest certyfikowany przez NIST
  • Ograniczona dostępność w usługach VPN

Tryby szyfrowania określają, w jaki sposób szyfry takie jak AES szyfrują dane. Są one kluczowe dla bezpieczeństwa usług VPN, ponieważ mają wpływ zarówno na prywatność, jak i wydajność. Oto najpopularniejsze tryby stosowane przez usługi VPN:

• CBC (Cipher Block Chaining)
  • Tradycyjny tryb
  • Tworzy łańcuch zależnych bloków
  • Może być wolniejszy od nowych trybów
  • Wymaga dodatkowych zabezpieczeń
• GCM (Galois/Counter Mode)
  • Zapewnia szyfrowanie i uwierzytelnianie
  • Szybszy od CBC
  • Uważany za bardzo bezpieczny
  • Powszechnie stosowany przez nowoczesne usługi VPN
• CTR (Counter)
  • Zmienia szyfr blokowy w szyfr strumieniowy
  • Jest szybki i umożliwia równoległe przetwarzanie
  • Nie oferuje samego uwierzytelniania
  • Używany przez ChaCha20
• OCB (Offset Codebook Mode)
  • Zapewnia uwierzytelnione szyfrowanie w jednym kroku
  • Bardzo wydajny
  • Ograniczona adopcja przez obawy dotyczące patentów

Innych trybów lepiej unikać w kontekście usług VPN. Zwłaszcza ECB (Electronic Codebook) jest zbyt prosty, aby mógł być bezpieczny. Z kolei CFB (Cipher Feedback) i OFB są podatne na błędną konfigurację ze względu na ich złożoność. Co więcej, są po prostu przestarzałe. Należy również unikać wszelkich trybów, które nie weryfikują integralności, chyba że są połączone z osobnym mechanizmem uwierzytelniania.

Obecnie większość renomowanych usług VPN stosuje GCM z AES lub kombinacją ChaCha20-Poly1305, ponieważ zapewniają one równowagę między bezpieczeństwem a wydajnością. Recenzując usługi VPN, szukamy tych nowoczesnych trybów szyfrowania z uwierzytelnianiem.

Protokoły VPN

Protokoły VPN to zbiory reguł i procesów stosowanych, aby nawiązać bezpieczne połączenie między Twoim urządzeniem a serwerem VPN.

Określają one sposób tworzenia i zarządzania tunelem VPN, podczas gdy szyfry zabezpieczają dane w tym tunelu.

Każdy protokół oferuje unikatowy zakres prędkości, bezpieczeństwa oraz kompatybilności. Większość usług VPN ma domyślny protokół, ale pozwala na jego zmianę w ustawieniach aplikacji.

Uzgadnianie VPN

Uzgadnianie VPN jest kluczowe dla inicjowania bezpiecznych połączeń. Dany proces obejmuje:

1. Uwierzytelnianie: weryfikację tożsamości oprogramowania klienckiego VPN i serwera.
2. Wymianę kluczy: bezpieczne udostępnienie kluczy szyfrowania dla sesji.
3. Negocjację parametrów: uzgodnienie zasad komunikacji oraz szyfrów.

Podczas uzgadniania Twoje urządzenie i serwer VPN wymieniają się informacjami, aby ustanowić bezpieczny kanał. Wynikiem tej wymiany jest współdzielony tajny klucz używany do szyfrowania i odszyfrowywania danych przez całą sesję VPN.

W procedurze uzgadniania VPN zazwyczaj wykorzystywany jest algorytm RSA (Rivest-Shamir-Adleman). RSA stanowi podstawę bezpieczeństwa internetowego od dwóch dekad.

Aby zapewnić sobie adekwatny poziom bezpieczeństwa, wybierz usługę VPN z RSA-2048 lub RSA-4096. RSA-1024 nie jest już uważany za bezpieczny, biorąc pod uwagę dostępną obecnie moc obliczeniową.

Choć zasadniczo jest bezpieczny, proces uzgadniania generuje „klucz główny”, który potencjalnie może odszyfrować wszystkie sesje na danym serwerze, jeśli zostanie przejęty.

W takiej sytuacji haker może włamać się na serwer VPN i uzyskać dostęp do wszystkich danych przesyłanych przez tunel VPN.

Aby tego uniknąć, zalecamy korzystanie z usług VPN, które oferują funkcję doskonałego utajniania z wyprzedzeniem (ang. Perfect Forward Secrecy).

Doskonałe utajnianie z wyprzedzeniem

Utajnianie z wyprzedzeniem to funkcja protokołu, która wykorzystuje algorytm wymiany kluczy Diffie-Hellman (DH) lub Elliptic Curve Diffie-Hellman (ECDH) do generowania tymczasowych kluczy sesji.

Utajnianie z wyprzedzeniem zapewnia, że w trakcie połączenia nigdy nie jest wymieniany klucz szyfrujący.

Kluczowe zalety perfekcyjnego utajniania z wyprzedzeniem:

1. Niezależne generowanie kluczy: zarówno serwer VPN, jak i oprogramowanie klienckie niezależnie uzyskują ten sam klucz szyfrowania bez konieczności jego wymiany.
2. Izolacja sesji: każde połączenie korzysta z unikatowego klucza, co minimalizuje potencjalne szkody w razie naruszenia jednej z sesji.
3. Zabezpieczenie tymczasowe: klucze są tymczasowe i  usuwane po użyciu, co uniemożliwia odszyfrowanie jakichkolwiek przechwyconych danych w przyszłości.

Choć RSA to ważny element uwierzytelniania, nie jest w stanie samodzielnie zapewnić perfekcyjnego utajniania z wyprzedzeniem. Wdrożenie perfekcyjnego utajniania z wyprzedzeniem wymaga dodania DH lub ECDH do pakietu szyfrów. ECDH oferuje solidne zabezpieczenie uzgadniania, podczas gdy DH powinien być używany tylko w połączeniu z innymi środkami ze względu na możliwe luki w zabezpieczeniach.

Dwa protokoły VPN, które zawsze polecamy naszym czytelnikom – OpenVPN i WireGuard – obsługują utajnianie z wyprzedzeniem.

Uwierzytelnianie z algorytmem haszującym SHA

Secure Hash Algorithms (SHA) to kluczowy element zabezpieczeń usług VPN, ponieważ:

1. Weryfikuje integralność danych podczas transmisji
2. Uwierzytelnia połączenia klient – serwer
3. Zapobiega nieupoważnionemu modyfikowaniu danych

SHA używa funkcji haszującej, aby zmienić dane źródłowe w ciąg znaków o określonej długości znany jako wartość skrótu. Jest to proces jednokierunkowy, którego nie można cofnąć; zmiana nawet jednego znaku w danych wejściowych drastycznie zmienia dane wyjściowe.

Oto jak działa w komunikacji VPN:

1. Nadawca zastosowuje na danych uzgodnioną wcześniej funkcję haszującą.
2. Odbiorca generuje skrót z otrzymanych danych za pomocą tej samej funkcji.
3. Jeśli wygenerowany skrót jest taki sam jak wysłany, integralność danych zostaje potwierdzona.
4. Różne skróty wskazują na potencjalną ingerencję i dane zostają odrzucone.

Uwierzytelnianie z algorytmem haszującycm SHA zapobiega atakom man-in-the-middle, wykrywając ingerencję w certyfikat, co uniemożliwia hakerom podszycie się pod faktyczny serwer VPN.

Aby zapewnić sobie maksymalne bezpieczeństwo, zalecamy korzystanie z usług VPN, które używają szyfrowania SHA-2 lub lepszego. SHA-1 ma pewne słabości, które mogą zagrażać bezpieczeństwu.