VPN og personvern: myter om hva en VPN kan og ikke kan beskytte

En VPN er et nyttig verktøy for personvern, men også et av de mest overdrevne produktene på nettet. Den gjør noen få bestemte ting godt og mange ting slett ikke. Denne guiden forklarer hva en VPN kan og ikke kan beskytte, hvor de vanlige mytene kommer fra, og hvordan du avgjør om en VPN passer til risikoene du faktisk har.

Hva en VPN faktisk gjør

En VPN lager en kryptert forbindelse mellom enheten din og en server som drives av VPN-leverandøren. Trafikken din går gjennom denne forbindelsen, og nettsteder ser adressen til VPN-serveren i stedet for adressen internettleverandøren din ga deg. Vil du ha det grunnleggende først, kan du lese guiden vår om hva en VPN er.

Beskrivelsen er kort med vilje, for den viser både styrken og begrensningen. En VPN endrer ikke hvem du er, hva du skriver inn i et påloggingsskjema eller hva nettleseren din avslører om seg selv.

Myten om full anonymitet

Markedsføringen bruker ofte ord som anonym, usporbar og usynlig. Ingen av dem beskriver det en VPN gir deg. I beste fall gir en VPN en viss grad av personvern overfor bestemte parter i bestemte situasjoner.

En VPN gir ikke anonymitet. Leverandøren kan se at kontoen din kobler seg til serverne, nettsteder kan kjenne deg igjen fordi du logger inn, og nettleseren din kan gjenkjennes uten IP-adressen din. En mer ærlig beskrivelse er at en VPN flytter noe av innsynet fra én part til en annen. Om det er en god byttehandel, avhenger av hvem du er bekymret for.

Loggføringspolicyer og hva de betyr

Mange leverandører hevder at de ikke fører logger. Uttrykket høres presist ut, men er det ikke. Det finnes flere typer data en tjeneste kan lagre, og en policy kan dekke noen av dem og ikke andre.

• Tilkoblingslogger: når du koblet til, hvor lenge og fra hvilken adresse. Noen leverandører lagrer kortvarige opplysninger for å drifte tjenesten eller begrense misbruk.
• Aktivitetslogger: hvilke nettsteder du besøkte eller hva du lastet ned. Dette er kategorien de fleste mener når de snakker om logging.
• Konto- og betalingsdata: e-postadressen din, betalingsmåte og abonnementsopplysninger. Nesten alle betalte tjenester lagrer dette.

Når du leser en policy, se etter klare utsagn om hver kategori og hvor lenge dataene lagres. Noen leverandører betaler uavhengige revisorer for å publisere en gjennomgang. Det er et bedre tegn enn et løfte alene, men en revisjon gjelder et bestemt tidspunkt og et begrenset omfang. Finner du ingen tydelig policy, er det også et svar.

Tilliten flyttes fra internettleverandøren til VPN-leverandøren

Uten VPN kan internettleverandøren din se hvilke domener enheten din kobler seg til. Med VPN ser den bare en forbindelse til en VPN-server, og VPN-leverandøren ser det internettleverandøren pleide å se.

Dette er det sentrale poenget i hele temaet. En VPN fjerner ikke behovet for tillit. Den flytter tilliten fra et selskap du allerede har avtale med, i ditt eget land, til et selskap du kanskje vet svært lite om. For mange er det fortsatt et fornuftig valg, for eksempel på offentlig wifi eller når de ikke stoler på det lokale nettverket. For andre er det et skritt til siden.

Har du ingen grunn til å mistro internettleverandøren din, gir en VPN kanskje ikke mye mer personvern. Guiden vår om hvordan du velger en VPN viser hva du bør sjekke når du bestemmer deg for å bruke en.

Nettleserfingeravtrykk og innloggede kontoer

Nettsteder trenger ikke IP-adressen din for å kjenne deg igjen. To vanlige metoder fungerer både med og uten VPN.

Innloggede kontoer

Hvis du logger inn på et sosialt nettverk, en e-posttjeneste, en nettbutikk eller en søkekonto, vet tjenesten hvem du er. Å bytte IP-adresse endrer ikke det. Alt du gjør mens du er innlogget, kan knyttes til kontoen. En VPN kan ikke gjøre en innlogget økt anonym.

Informasjonskapsler og fingeravtrykk

Informasjonskapsler (cookies) ligger på enheten din, så de er de samme selv om IP-adressen endres. Et fingeravtrykk er en kombinasjon av detaljer nettleseren din viser, som skjermstørrelse, språk, skrifttyper og tidssone, og som kan være særegen nok til å gjenkjenne en enhet. En VPN endrer ingen av disse. Egne nettleserprofiler og nettlesere som begrenser sporing hjelper mer.

Skadevare og phishing

En VPN beskytter deg ikke mot skadelig programvare eller svindel. Laster du ned en infisert fil via en VPN, er filen like infisert. Skriver du passordet ditt inn på en falsk påloggingsside via en VPN, får angriperen det like enkelt.

Noen apper blokkerer kjente skadelige domener, og det kan hjelpe, men det er et tillegg og ikke en erstatning for fornuftige vaner. Phishing virker på mennesker, ikke nettverk. Sjekk avsenderen og sideadressen før du logger inn, og bruk en passordbehandler, som ikke fyller ut opplysninger på et nettsted som bare ligner.

HTTPS versus VPN

De fleste nettsteder bruker nå HTTPS, som krypterer innholdet som utveksles mellom nettleseren din og nettstedet. Dette har betydning for spørsmålet om når en VPN er nødvendig.

På et offentlig wifi-nettverk hindrer HTTPS allerede andre på nettverket i å lese sidene du laster og dataene du sender inn. De kan likevel se hvilke domener du kontakter. En VPN legger til et lag som skjuler selv det, og den beskytter trafikk som ikke bruker HTTPS, for eksempel enkelte eldre apper eller tjenester.

Slik sammenlignes de to i praksis:

Ingen av dem beskytter deg mot selve nettstedet, og ingen av dem erstatter den andre.

DNS- og IP-lekkasjer

En VPN hjelper bare hvis all trafikken din virkelig går gjennom den. Noen ganger gjør ikke deler av den det. Dette kalles lekkasjer, og det er en vanlig måte for en VPN å svikte i det stille.

• DNS-lekkasjer: DNS er systemet som gjør om et nettstednavn til en adresse. Hvis enheten din sender disse oppslagene til internettleverandøren i stedet for gjennom VPN-en, kan leverandøren fortsatt se hvilke nettsteder du besøker.
• IP-lekkasjer: noen nettleserfunksjoner kan avsløre din virkelige adresse selv når en VPN er på. Nyere nettverk bruker også IPv6-adresser, og hvis en VPN bare håndterer den eldre IPv4-typen, kan trafikk over IPv6 gå utenom.

Du kan redusere disse risikoene. Se etter en innstilling for kill switch, bruk den offisielle appen, og kjør en lekkasjetest fra et anerkjent testnettsted mens du er tilkoblet. Gjenta testen etter større oppdateringer eller når du bytter nettverk.

Jurisdiksjon og datainnsyn

Alle VPN-selskaper har base et sted og drifter servere på ulike steder. Lovene i disse landene påvirker hva selskapet kan pålegges å gjøre. Generelt kan myndigheter i mange land sende juridiske krav til selskaper, og et selskap som sitter på data, kan bli pålagt å utlevere dem. Et selskap som har svært lite data, har lite å utlevere.

Derfor betyr en tydelig loggføringspolicy mer enn et landnavn på et kart. Lover om bruk av VPN, datalagring og personvern varierer mye mellom land og endrer seg over tid. Denne guiden er generell informasjon, ikke juridisk rådgivning. Sjekk reglene der du bor og reiser.

Gratis VPN-er

Å drive en VPN koster penger til servere, båndbredde, programvare og kundestøtte. En tjeneste som ikke tar betalt, må finansiere dette på en annen måte. Det betyr ikke at alle gratistjenester er skadelige, men det er en grunn til å lese vilkårene ekstra nøye.

Gratistjenester kan tjene penger ved å vise reklame, begrense fart eller datamengde for å få deg over på en betalt plan, og samle inn og selge opplysninger om hvordan du bruker internett. Det siste er den reelle bekymringen for personvernet, fordi hele poenget med en VPN er å begrense hvem som ser trafikken din. En gratis app som registrerer og selger nettlesingsdata, motvirker dette formålet.

Før du installerer en gratis VPN, bør du sjekke hvem som driver den, hvordan den tjener penger og hva personvernerklæringen sier. Kan du ikke svare på dette, bør du ikke installere den.

Reklamepåstander du bør være skeptisk til

VPN-reklame er full av dramatiske ord. Du trenger ikke anta ond tro, men du bør lese slike påstander kritisk.

• «Kryptering på militært nivå.» Dette er et markedsføringsuttrykk, ikke en teknisk standard. Se etter at dokumentasjonen navngir de faktiske protokollene og chifrene.
• «Full anonymitet» eller «usporbar». Som forklart over kan ikke en VPN levere dette.
• «Fungerer med alle strømmetjenester.» Strømmetjenester blokkerer aktivt VPN-adresser, og hva som fungerer, endrer seg ofte. Ingen leverandør kan love varig tilgang. Se guiden vår om VPN på mobil, ruter og strømming for hva du kan forvente.
• Nedtellingsklokker og store rabatter. Les vilkårene for fornyelse før du kjøper. Guiden vår om VPN-priser og fornyelser forklarer hvordan introduksjonspriser fungerer.

En pålitelig leverandør beskriver begrensningene like tydelig som fordelene.

Andre verktøy som utfyller en VPN

For de fleste kommer de største forbedringene i personvern og sikkerhet fra grunnleggende vaner og verktøy, ikke fra en VPN. Disse gjør ting en VPN ikke kan.

• Programvareoppdateringer. Hold systemet, nettleseren og appene oppdatert, siden mange angrep utnytter kjente feil.
• En passordbehandler. Den lager og lagrer et unikt passord for hver konto, slik at et datainnbrudd på ett nettsted ikke åpner de andre. Den hjelper deg også å unngå falske påloggingssider.
• Tofaktorautentisering. Et ekstra steg ved pålogging, helst via en autentiseringsapp eller en fysisk sikkerhetsnøkkel, beskytter en konto selv om passordet blir stjålet.
• Sporingsblokkering. Nettleserinnstillinger eller utvidelser fra anerkjente kilder kan begrense informasjonskapsler, tredjepartssporere og noe av fingeravtrykkingen. Dette tar tak i det en VPN lar være urørt.

En realistisk sjekkliste for trusselbildet

En trusselmodell er rett og slett et ærlig svar på spørsmålet om hva du prøver å beskytte, og mot hvem. Den hindrer deg i å kjøpe en løsning på et problem du ikke har. Gå gjennom disse spørsmålene.

1. Hva vil jeg beskytte? Eksempler er påloggingsopplysninger på offentlig wifi, nettlesingshistorikk overfor internettleverandøren min, min virkelige plassering overfor et nettsted eller tilgang til innhold på reise.
2. Hvem kan se det? Eksempler er andre på det samme nettverket, internettleverandøren min, annonsører, et nettsted eller noen som er ute etter meg personlig.
3. Løser en VPN denne risikoen? Hvis svaret avhenger av innloggede kontoer, skadevare eller din egen enhet, vil ikke en VPN løse den.
4. Hvem ville jeg stolt på i stedet? Avgjør om du stoler mer på VPN-leverandøren enn på din nåværende internettleverandør, og hvorfor.
5. Hva trengs ellers? Legg til oppdateringer, en passordbehandler, tofaktorautentisering og sporingsblokkering der det er relevant.

Hvis de ærlige svarene dine peker mot offentlig wifi, et nettverk du ikke stoler på, eller ønsket om å holde nettleseraktiviteten din unna internettleverandøren, er en VPN et rimelig verktøy. Hvis de peker mot anonymitet overfor nettstedene du logger inn på, sikkerhet mot skadevare eller beskyttelse mot en målrettet motstander, er en VPN alene ikke nok. Vil du lese videre, kan du starte med guiden vår om hva en VPN er for grunnlaget, og deretter sammenligne alternativer med stegene i hvordan du velger en VPN.

Viktigste punkter

• En VPN skjuler trafikken din for det lokale nettverket og internettleverandøren, og endrer adressen nettsteder ser. Den gjør deg ikke anonym.
• Å bruke en VPN flytter tilliten fra internettleverandøren til VPN-selskapet, så leverandørens loggføringspolicy og merittliste har betydning.
• Innloggede kontoer, informasjonskapsler og nettleserfingeravtrykk identifiserer deg uansett IP-adresse.
• En VPN stopper ikke skadevare eller phishing. Oppdateringer, en passordbehandler og tofaktorautentisering gjør langt mer her.
• HTTPS og en VPN beskytter ulike deler av forbindelsen, og ingen av dem beskytter deg mot nettstedet du besøker.
• Test for DNS- og IP-lekkasjer, og bruk kill switch der den finnes.
• Gratis VPN-er krever ekstra gransking, fordi pengene må komme fra et sted.
• Vær skeptisk til absolutte påstander om anonymitet, fart, sikkerhet og tilgang til strømming.
• Lover om VPN og datainnsyn varierer fra land til land, så sjekk lokale regler.
• Start med din egen trusselmodell, og velg deretter verktøy som passer til den.