Apa yang Sebenarnya Dilindungi VPN (dan yang Tidak)
VPN adalah salah satu alat privasi yang paling banyak direkomendasikan, dan ada alasannya. Namun, pemasaran seputar VPN sering kali menjanjikan lebih, membuat pengguna merasa aman secara keliru. Memahami apa yang sebenarnya dilindungi VPN, dan di mana manfaatnya berhenti, sangat penting bagi siapa pun yang membangun pengaturan keamanan pribadi.
Secara singkat: VPN sangat baik untuk serangkaian tugas yang spesifik dan sempit. Di luar tugas-tugas itu, VPN hampir tidak berbuat apa-apa untuk melindungi Anda dari peretas.
Apa yang Benar-Benar Dipertahankan VPN
VPN bekerja dengan mengenkripsi lalu lintas internet Anda dan merutekannya melalui server yang menyamarkan alamat IP asli Anda. Kedua fungsi itu secara langsung mengatasi beberapa ancaman nyata.
Penyadapan di Wi-Fi publik adalah kasus penggunaan paling praktis bagi sebagian besar orang. Saat Anda terhubung ke jaringan tidak aman di kedai kopi, bandara, atau hotel, pengguna lain di jaringan yang sama berpotensi menyadap lalu lintas yang tidak terenkripsi. VPN mengenkripsi lalu lintas itu sebelum meninggalkan perangkat Anda, membuatnya tidak terbaca oleh siapa pun yang mengintai di jaringan lokal. Hal ini sekarang kurang relevan karena sebagian besar situs web menggunakan HTTPS secara default, tetapi masih ada skenario di mana data tidak terenkripsi melintas melalui jaringan publik.
Eksposur alamat IP adalah area lain di mana VPN memberikan perlindungan nyata. Alamat IP Anda dapat mengungkapkan perkiraan lokasi fisik Anda dan, dalam beberapa kasus, digunakan untuk mengidentifikasi Anda di berbagai layanan. Menyamarkannya dengan IP server VPN membatasi apa yang dapat disimpulkan oleh pengiklan, situs web, dan beberapa pelaku ancaman tentang Anda.
Penargetan DDoS adalah ancaman yang kurang umum namun nyata, terutama bagi gamer, streamer, dan kreator konten. Serangan distributed denial-of-service membanjiri alamat IP target dengan lalu lintas sampah untuk menjatuhkan mereka dari jaringan. Jika IP asli Anda tersembunyi di balik server VPN, penyerang tidak dapat menargetkan koneksi Anda yang sebenarnya. Server VPN-lah yang menyerap banjiran itu.
Ini adalah perlindungan nyata. Hanya saja tidak komprehensif.
Di Mana VPN Tidak Memadai
VPN tidak dapat memeriksa, memblokir, atau menyaring apa yang Anda pilih untuk lakukan dengan koneksi Anda. Itu berarti seluruh kategori serangan dapat melewati VPN sepenuhnya.
Phishing mungkin adalah celah yang paling penting. Jika Anda mengklik tautan berbahaya di email dan memasukkan kredensial Anda di halaman login palsu, VPN tidak berbuat apa-apa untuk menghentikannya. Terowongan terenkripsi dengan setia mengantarkan Anda ke situs palsu itu. Serangan tetap berhasil.
Malware bekerja dengan cara yang sama. Jika Anda mengunduh dan menjalankan file berbahaya, VPN tidak memiliki mekanisme untuk mendeteksi atau memblokirnya. Malware beroperasi di lapisan aplikasi, jauh di atas perlindungan tingkat jaringan yang disediakan VPN.
Pembobolan akun melalui credential stuffing, penggunaan kembali kata sandi, atau pembajakan sesi juga tidak terpengaruh. Jika penyerang memperoleh nama pengguna dan kata sandi Anda dari basis data yang bocor, mereka dapat masuk ke akun Anda dari mana saja. VPN tidak melindungi kredensial itu.
Eksploitasi zero-day yang menargetkan peramban, sistem operasi, atau aplikasi tidak ada hubungannya dengan alamat IP atau enkripsi lalu lintas jaringan Anda. Eksploitasi itu memanfaatkan kerentanan di perangkat lunak itu sendiri.
Pola ini juga meluas ke ancaman canggih. Seperti yang dibahas dalam analisis terbaru tentang serangan APT tingkat negara di Singapura, aktor ancaman persisten tingkat lanjut menggunakan teknik seperti spear phishing, kompromi rantai pasok, dan eksploitasi titik akhir yang tidak dirancang untuk dilawan oleh VPN. Musuh tingkat negara tidak perlu menyadap lalu lintas Wi-Fi Anda.
Tumpukan Keamanan Pelengkap
Karena VPN hanya mencakup ancaman lapisan jaringan dan hampir tidak ada lagi, keamanan serius membutuhkan pelapisan alat tambahan.
Pengelola kata sandi dengan kata sandi unik yang dibuat secara acak untuk setiap akun menetralkan serangan credential stuffing. Kata sandi yang digunakan kembali adalah salah satu vektor pembobolan akun paling umum, dan tidak ada VPN yang mengatasinya.
Autentikasi multi-faktor (MFA) menambahkan penghalang kedua bahkan jika kredensial dicuri. Kunci keamanan perangkat keras menawarkan bentuk MFA paling kuat, meskipun aplikasi autentikator adalah peningkatan signifikan dari kode berbasis SMS.
Perangkat lunak perlindungan titik akhir menangani malware, ransomware, dan beberapa upaya eksploitasi di tingkat perangkat. Dikombinasikan dengan menjaga sistem operasi dan aplikasi Anda tetap ditambal dan terkini, ini menangani permukaan kerentanan perangkat lunak yang tidak dapat disentuh VPN.
Kebiasaan email yang tahan phishing dan ekstensi peramban yang menandai URL mencurigakan mengurangi efektivitas serangan rekayasa sosial. Melatih diri untuk meneliti tautan sebelum mengeklik, meski terasa tidak glamor, adalah salah satu langkah keamanan paling efektif yang tersedia.
Perlu dicatat bahwa bahkan aplikasi perpesanan terenkripsi pun tidak kebal terhadap kompromi tingkat pengguna. Uraian terbaru tentang mengapa pengguna Signal diretas meskipun enkripsi aplikasinya kuat mengilustrasikan poin ini dengan jelas: penyerang menargetkan orangnya, perangkatnya, atau pengaturan akunnya, bukan protokol enkripsi itu sendiri. VPN juga tidak akan membantu dalam kasus-kasus itu.
Kerangka Kerja Kasus Penggunaan Praktis
Daripada bertanya apakah Anda harus menggunakan VPN, pertanyaan yang lebih baik adalah kapan VPN membantu dan kapan Anda perlu menggunakan alat lain.
Gunakan VPN saat menghubungkan ke jaringan Wi-Fi publik atau tidak tepercaya, saat Anda ingin membatasi pelacakan dan pembuatan profil berbasis IP, saat alamat IP asli Anda dapat mengekspos lokasi fisik Anda kepada pihak yang bermusuhan, atau saat Anda ingin mengurangi risiko penargetan DDoS dalam game atau streaming online.
Gunakan alat lain saat Anda mengevaluasi tautan email sebelum mengekliknya (gunakan pemindai tautan atau langsung navigasi ke situs itu), saat Anda menilai apakah akun Anda aman (gunakan pengelola kata sandi dan aktifkan MFA), saat Anda menginginkan perlindungan dari malware (gunakan perangkat lunak keamanan titik akhir dan jaga sistem tetap ditambal), atau saat Anda menghadapi serangan tertarget oleh musuh canggih yang telah mengidentifikasi Anda sebagai target.
Apa Artinya Bagi Anda
VPN adalah alat yang berguna dan sah. VPN memiliki tempat dalam pengaturan keamanan pribadi, tetapi seharusnya bukan satu-satunya hal di pengaturan itu, dan jangan berharap VPN melakukan pekerjaan yang memang tidak dirancang untuknya.
Ancaman yang menyebabkan kerugian paling nyata—phishing, malware, pengambilalihan akun, dan eksploitasi tertarget—beroperasi di atas lapisan jaringan. Enkripsi dan penyamaran IP VPN tidak relevan untuk semuanya itu.
Pendekatan paling efektif adalah pendekatan berlapis: gunakan VPN untuk skenario spesifik yang terbantu olehnya, dan gunakan alat yang dirancang khusus untuk ancaman yang tidak dapat ditanganinya. Memahami alat mana yang menangani ancaman mana adalah fondasi postur keamanan yang benar-benar bertahan di bawah tekanan. Menjelajahi skenario serangan dunia nyata yang spesifik adalah langkah selanjutnya yang baik untuk menerapkan kerangka kerja itu dalam praktik.
