VPNs können den Datenverkehr der Nutzer über eine verschlüsselte Verbindung an einen entfernten Server weiterleiten und dadurch verhindern, dass Personen dazwischen den Inhalt lesen und die Zielserver die IP-Adresse des Nutzers sehen. Bei Systemen mit nur einem Server wird der Datenverkehr jedoch entschlüsselt, bevor er an das Ziel gesendet wird; dabei können der Datenverkehr sowie die IP-Adressen des Absenders und des Ziels von böswilligen Mitarbeitern oder Angreifern eingesehen werden. Dass bestimmte Metadaten wie Zeitstempel nicht verschlüsselt werden, kann es Staaten zudem ermöglichen, Nutzerprofile zu erstellen. Obwohl US-Behörden die Nutzung von VPNs empfehlen, legten sie keine Kriterien dafür vor, welche Konfigurationen ausreichenden Schutz bieten.
Senator Ron Wyden (D-Ore.) forderte in einem am Mittwoch an NSA-Direktor Gen. Joshua Rudd gesendeten Brief klare Empfehlungen für Regierungsmitarbeiter, Rüstungsauftragnehmer, Journalisten und Menschenrechtsverteidiger, die fortgeschrittenen ausländischen Bedrohungen ausgesetzt sind. Wyden verlangte, dass die NSA ihren bestehenden öffentlichen Leitfaden aktualisiert und ihre Antworten bis zum 14. Oktober vorlegt. Zu den Fragen gehören die ausreichende Sicherheit standardmäßiger kommerzieller VPNs mit einem Hop, ein Vergleich mehrstufiger Systeme wie Apple Private Relay, Tor und Nym sowie die Notwendigkeit zufälliger Verzögerungen, kryptografischer Auffüllung und Tarnverkehrs.
Nym ist ein in Rust geschriebener Open-Source-Client, der über ein dezentrales Mixnet zufällige Verzögerungen und eine Neuordnung von Nachrichten sowie mehrere Hops unterstützt. Apple Private Relay verwendet zwei Server, von denen einer von Apple und der andere von einem Drittanbieter für Inhalte betrieben wird; sein Schutz ist auf Safari auf Apple-Geräten beschränkt. Tor leitet den Datenverkehr hingegen über drei Server. Unter den freiwilligen Betreibern von Nym und Tor könnten sich Spione befinden; Private Relay stützt sich dagegen auf Unternehmen wie Cloudflare und Akamai. Der Congressional Research Service fasst die Optionen zwar zusammen, bietet jedoch keine Auswahlkriterien. Micah Sherr, Professor an der Georgetown University, erklärte, dass es keine verlässliche Standardisierung zur Bewertung von VPN-Diensten gebe.
Warum das wichtig ist
Diese Anfrage zeigt, dass die Darstellung der VPN-Nutzung als allgemeine Sicherheitsmaßnahme für Nutzer mit hohem Bedrohungsrisiko möglicherweise nicht ausreicht. Für Regierungsmitarbeiter, Rüstungsauftragnehmer, Journalisten und Menschenrechtsverteidiger geht es weniger um die Verschlüsselung der Verbindung als darum, wer die Verkehrsmuster und Metadaten sehen kann. Die Unterschiede zwischen einstufigen Diensten und mehrstufigen oder auf einem Mixnet basierenden Optionen werfen auch die Frage auf, in welchem Maß der Schutz vom verwendeten Gerät, Browser und Dienstanbietern abhängt. Die bestehenden Leitfäden legen jedoch nicht fest, welche dieser Optionen unter welchem Bedrohungsmodell bevorzugt werden sollte. Die Antwort der NSA lässt offen, ob sie technische Eigenschaften in einen konkreten Bewertungsrahmen überführen wird, den Nutzer miteinander vergleichen können.
Begriff: Verzögerung
Eine Verzögerung ist die Zeitspanne zwischen dem Senden einer Anfrage und dem Eintreffen der Antwort; bei Spielen und Livestreams ist sie unmittelbar spürbar.