Definition og hovedidé

SSL og TLS er kryptografiske protokoller, der beskytter kommunikation ved at etablere en krypteret forbindelse mellem to parter. I praksis bruges TLS typisk til HTTPS, hvor browseren etablerer en sikker kanal til en webserver.

Når du bruger en VPN, opstår der samtidig en ekstra krypteret “tunnel” mellem din enhed og VPN-serveren. Pointen er, at VPN krypterer transporten i netværksdelen, mens SSL/TLS krypterer applikationsdata på et højere niveau.

Eenvoudig model: to krypteringslag med forskellige endepunkter

Tænk på det som to separate mekanismer, der kan køre samtidigt:

  1. VPN-laget: Din enhed sender netværkspakker til VPN-serveren via en krypteret tunnel. Hver pakke, der bærer din efterfølgende trafik, bliver skjult for uvedkommende på vejen.
  2. TLS-laget: Inde i tunnelen etablerer din browser eller app en TLS-forbindelse til den rigtige server (fx en bestemt webadresse).

Det giver ofte denne adfærd: Uden for VPN-tunnelen kan nogen måske se, at du har VPN-trafik, men de kan ikke læse de TLS-beskeder, fordi de er krypteret. Inden i tunnelen kan VPN-leverandøren som udgangspunkt ikke læse selve TLS-indholdet, hvis TLS virkelig er end-to-end mellem din enhed og destinationen.

Hvor TLS “slutter” og VPN “starter” i praksis

Det, der afgør beskyttelsen, er hvem der er TLS-endepunkterne:

  • Hvis din enhed forhandler TLS direkte med destinationens server (klassisk HTTPS), så er TLS nøgler og klartekst kun synlige mellem din enhed og destinationen.
  • Hvis TLS-interception (ofte omtalt som “inspektion”) sker på eller via VPN-løsningen, kan TLS-endepunkterne i stedet blive flyttet. Så kan TLS blive etableret i flere hop, og indholdet kan i princippet blive tilgængeligt for den part, der håndterer inspektionen.

Denne forskel ændrer ikke nødvendigvis, at kommunikationen er krypteret, men den ændrer hvilken part der har adgang til klartekst på et tidspunkt.

Forskelle mellem “TLS-kryptering” og “VPN-kryptering”

Selvom de begge er kryptering, dækker de forskellige behov:

  • TLS handler om at beskytte data og sikre, at du taler med den rigtige server (via certificater og protokolmekanismer).
  • VPN handler om at beskytte din trafik mod indblik mellem din enhed og VPN-serveren, samt om at transportere trafikken på tværs af netværk mere sikkert.

Derfor kan en VPN give ekstra beskyttelse på netværksstrækningen, men den “tilføjer” ikke automatisk serveridentitet for den enkelte webtjeneste. Det er TLS’ rolle i den konkrete applikationsforbindelse.

Undtagelser, begrænsninger og hvad der kan ændre udfaldet

Det er vigtigt at være opmærksom på, at beskrivelsen ovenfor er et generelt billede. Følgende kan ændre praksis:

  • TLS-inspektion: Hvis en løsning etablerer TLS i flere led, kan end-to-end-ideen blive svagere, fordi klartekst kan forekomme mellem delene.
  • Konfiguration og sikkerhedspolitikker: Nogle miljøer (virksomheder, sikkerhedssoftware, netværksfiltre) kan påvirke TLS-håndteringen.
  • Hvad du faktisk bruger: Ikke al trafik bruger TLS (fx nogle ældre protokoller). Hvis der ikke er TLS i det, du besøger, er der ingen TLS-lag i den del.

Manglen på et enkelt universelt svar kommer af, at VPN-løsninger og netværksmiljøer kan implementere forskellige strategier for, hvordan og hvor TLS håndteres.

Sådan kan du selv tjekke, hvad der sker

Du kan undersøge flere kontrolpunkter uden at være afhængig af antagelser:

  • Se om forbindelsen er HTTPS/TLS i din app (fx om din browser viser, at forbindelsen er sikker).
  • Kontrollér, om der sker en ændring i serverforbindelsen: Hvis noget i dit miljø præsenterer andre certifikater end destinationens, kan det indikere TLS-håndtering i flere led.
  • Skeln mellem netværksbeskyttelse og applikationsbeskyttelse: VPN kan beskytte transporten til VPN-serveren, men TLS afgør, om applikationsdata læses eller forbliver krypteret til endepunkterne.

Hvis du vil vurdere “hvor stærk” beskyttelsen er, så se ikke kun på VPN. Se også på TLS-håndteringen i den konkrete forbindelse.