Wat een VPN werkelijk beschermt (en wat niet)
Een VPN is een van de meest aanbevolen privacy-tools die beschikbaar zijn, en met goede reden. Maar de marketing rond VPN's belooft vaak te veel, waardoor gebruikers een vals gevoel van veiligheid krijgen. Het begrijpen van wat een VPN daadwerkelijk beschermt, en waar het niet langer nuttig is, is oprecht belangrijk voor iedereen die een persoonlijke beveiligingsopstelling bouwt.
De korte versie: een VPN blinkt uit in een specifieke, smalle set taken. Buiten die taken doet het bijna niets om je tegen hackers te beschermen.
Waar een VPN je daadwerkelijk tegen beschermt
Een VPN werkt door je internetverkeer te versleutelen en het via een server te leiden die je echte IP-adres maskeert. Deze twee functies pakken rechtstreeks een aantal reële bedreigingen aan.
Onderschepping op openbare wifi is het meest praktische gebruiksgeval voor de meeste mensen. Wanneer je verbinding maakt met een onbeveiligd netwerk in een koffiebar, op een luchthaven of in een hotel, kunnen andere gebruikers op hetzelfde netwerk in potentie onversleuteld verkeer onderscheppen. Een VPN versleutelt dat verkeer voordat het je apparaat verlaat, waardoor het onleesbaar wordt voor iedereen die op het lokale netwerk rondsnuffelt. Dit is minder belangrijk dan vroeger, aangezien de meeste websites tegenwoordig standaard HTTPS gebruiken, maar er zijn nog steeds scenario's waarin onversleutelde gegevens over openbare netwerken worden verzonden.
Blootstelling van IP-adres is een ander gebied waarop VPN's echte bescherming bieden. Je IP-adres kan je geschatte fysieke locatie onthullen en in sommige gevallen worden gebruikt om je te identificeren bij verschillende diensten. Het maskeren ervan met het IP-adres van een VPN-server beperkt wat adverteerders, websites en sommige dreigingsactoren over je kunnen afleiden.
DDoS-aanvallen is een minder vaak voorkomende, maar reële bedreiging, vooral voor gamers, streamers en contentmakers. Een distributed denial-of-service-aanval overspoelt het IP-adres van een doelwit met rommelverkeer om het offline te halen. Als je echte IP-adres achter een VPN-server is verborgen, kunnen aanvallers je werkelijke verbinding niet aanvallen. De VPN-server absorbeert de toevloed in plaats daarvan.
Dit zijn echte beschermingen. Ze zijn alleen niet volledig.
Waar een VPN tekortschiet
Een VPN kan niet inspecteren, blokkeren of filteren wat je met je verbinding doet. Dat betekent dat hele categorieën aanvallen er volledig aan voorbijgaan.
Phishing is misschien wel de belangrijkste tekortkoming. Als je op een kwaadaardige link in een e-mail klikt en je inloggegevens op een neploginpagina invoert, doet een VPN niets om dat te stoppen. De versleutelde tunnel brengt je gewoon bij de frauduleuze site. De aanval slaagt hoe dan ook.
Malware werkt op dezelfde manier. Als je een kwaadaardig bestand downloadt en uitvoert, heeft je VPN geen mechanisme om het te detecteren of te blokkeren. Malware opereert op de applicatielaag, ver boven de netwerkbeveiliging die een VPN biedt.
Accountcompromittering via credential stuffing, wachtwoordhergebruik of sessiekaping is evenmin van invloed. Als een aanvaller je gebruikersnaam en wachtwoord uit een uitgelekte database verkrijgt, kan hij overal ter wereld inloggen op je accounts. Je VPN beschermt die inloggegevens niet.
Zero-day exploits die gericht zijn op je browser, besturingssysteem of applicaties hebben niets te maken met je IP-adres of versleuteling van netwerkverkeer. Ze maken misbruik van kwetsbaarheden in de software zelf.
Dit patroon geldt ook voor geavanceerde dreigingen. Zoals besproken in de recente analyse van de APT-aanvallen op Singapores staatsniveau, gebruiken geavanceerde aanhoudende dreigingsactoren technieken als spear phishing, compromittering van de toeleveringsketen en endpoint-exploitatie waar een VPN simpelweg niet tegen is ontworpen. Tegenstanders op het niveau van natiestaten hoeven je wifi-verkeer niet te onderscheppen.
De complementaire beveiligingsstapel
Omdat een VPN alleen bedreigingen op de netwerklaag dekt en bijna niets anders, vereist serieuze beveiliging het stapelen van aanvullende tools.
Een wachtwoordmanager met unieke, willekeurig gegenereerde wachtwoorden per account neutraliseert credential stuffing-aanvallen. Hergebruikte wachtwoorden zijn een van de meest voorkomende vectoren voor accountcompromittering, en geen enkele VPN pakt dat aan.
Multifactorauthenticatie (MFA) voegt een tweede barrière toe, zelfs als inloggegevens zijn gestolen. Hardwarebeveiligingssleutels bieden de sterkste vorm van MFA, hoewel authenticator-apps een aanzienlijke verbetering zijn ten opzichte van sms-codes.
Endpointbeveiligingssoftware behandelt malware, ransomware en sommige exploitpogingen op apparaatniveau. In combinatie met het up-to-date en gepatcht houden van je besturingssysteem en applicaties, pakt dit het oppervlak voor softwarekwetsbaarheden aan dat VPN's niet kunnen raken.
Phishingbestendige e-mailgewoonten en browserextensies die verdachte URL's markeren, verminderen de effectiviteit van social engineering-aanvallen. Jezelf trainen om links nauwkeurig te bekijken voordat je klikt, is op een onopvallende manier een van de meest effectieve beveiligingsmaatregelen die er zijn.
Het is vermeldenswaard dat zelfs versleutelde berichtenapps niet immuun zijn voor compromittering op gebruikersniveau. Een recente uiteenzetting over waarom Signal-gebruikers worden gehackt ondanks de sterke encryptie van de app illustreert dit duidelijk: aanvallers richten zich op de persoon, het apparaat of de accountinstellingen in plaats van op het encryptieprotocol zelf. Een VPN zou in die gevallen ook niet hebben geholpen.
Een praktisch gebruiksraamwerk
In plaats van je af te vragen of je een VPN moet gebruiken, is de betere vraag wanneer het helpt en wanneer je naar iets anders moet grijpen.
Gebruik je VPN wanneer je verbinding maakt met openbare of onbetrouwbare wifi-netwerken, wanneer je op IP gebaseerde tracking en profilering wilt beperken, wanneer je echte IP-adres je fysieke locatie kan blootstellen aan een vijandige partij, of wanneer je het risico op DDoS-aanvallen in online games of streams wilt verkleinen.
Grijp naar andere tools wanneer je een e-maillink beoordeelt voordat je erop klikt (gebruik een linkscanner of ga gewoon rechtstreeks naar de site), wanneer je beoordeelt of je accounts veilig zijn (gebruik een wachtwoordmanager en schakel MFA in), wanneer je bescherming tegen malware wilt (gebruik endpointbeveiligingssoftware en houd systemen gepatcht), of wanneer je te maken hebt met een gerichte aanval van een geavanceerde tegenstander die jou al als doelwit heeft geïdentificeerd.
Wat dit voor jou betekent
Een VPN is een nuttig en legitiem hulpmiddel. Het hoort thuis in een persoonlijke beveiligingsopstelling, maar het moet niet het enige in die opstelling zijn, en je moet er geen taken van verwachten waarvoor het nooit is ontworpen.
De bedreigingen die in de praktijk de meeste schade veroorzaken – phishing, malware, accountovernames en gerichte exploitatie – opereren boven de netwerklaag. De encryptie en IP-maskering van een VPN zijn voor al deze bedreigingen irrelevant.
De meest effectieve aanpak is een gelaagde: gebruik een VPN voor de specifieke scenario's waarin het helpt, en gebruik speciaal daarvoor gebouwde tools voor de bedreigingen die het niet kan aanpakken. Begrijpen welk hulpmiddel welke bedreiging behandelt, is de basis van een beveiligingshouding die daadwerkelijk standhoudt onder druk. Het verkennen van specifieke realistische aanvalsscenario's is een goede volgende stap om dat raamwerk in de praktijk te brengen.
