Anoniem surfen met een VPN: waar de bescherming ophoudt voor je zaak
Een VPN verbergt je IP-adres voor de websites die je bezoekt en je surfgedrag voor het netwerk waarop je zit, maar hij maakt je niet anoniem. De VPN-aanbieder kan zien met welke servers je verbinding maakt, de accounts waarop je inlogt weten wie je bent, en cookies en de kenmerken van je browser maken je herkenbaar. Het Tor-netwerk gaat verder door je verkeer via drie servers te sturen. Deze gids legt uit waar de bescherming van een VPN ophoudt, en wat dat betekent voor een zelfstandige of kmo.
Of: waarom je onder een kap toch voetsporen in de sneeuw achterlaat
Wie leest de grenzen van een VPN, botst snel op het woord anoniem. Het staat op heel wat verkooppagina’s. Het klopt maar half. Een VPN verbergt je IP-adres voor de websites die je bezoekt, en wat je doet voor het netwerk waarop je zit. Anoniem ben je daarmee niet: de aanbieder ziet nog met welke servers je praat, en alles wat je zelf meestuurt, blijft je herkenbaar maken. Het Tor-project legt goed uit waarom één tussenpersoon nooit genoeg is voor echte anonimiteit.
Kort: een VPN maakt je minder zichtbaar voor sommigen, niet onzichtbaar voor iedereen. Voor een zaak is dat meestal ook niet het doel. Je wilt niet dat het hotelnetwerk meekijkt; je wilt wel dat je boekhoudprogramma weet wie inlogt.
Is een VPN anoniem?
Denk aan iemand in een lange jas met de kap op, die door verse sneeuw loopt. Niemand ziet zijn gezicht. Wie het spoor volgt, weet toch waar hij vandaan komt en waar hij naartoe gaat. En als hij onderweg zijn naam zegt bij de bakker, helpt de kap niet meer.
Wat een VPN wel verbergt
Twee dingen. Voor de websites die je bezoekt, vervangt hij je IP-adres door dat van de VPN-server, zodat ze niet rechtstreeks zien welke internetverbinding je gebruikt en in welke streek je ongeveer zit. En voor het netwerk waarop je zit, het hotel, de coworking of je internetprovider, verbergt hij welke diensten je gebruikt. Dat is nuttig, maar het is privacy op het netwerk, geen anonimiteit.
Wat je zelf prijsgeeft
Het grootste lek is ook het meest voor de hand liggende: je logt in. Zodra je je Microsoft 365, je Google-account of je bankapp opent, weet die dienst wie je bent, VPN of geen VPN. Daarnaast:
- Cookies: een cookie die je browser eerder kreeg, wordt gewoon weer meegestuurd, ook door de tunnel.
- Je browser: de combinatie van je schermformaat, lettertypes, taal en instellingen is vaak uniek genoeg om je terug te herkennen. Dat heet browser fingerprinting, en met Cover Your Tracks van de Amerikaanse burgerrechtenorganisatie EFF zie je hoe herkenbaar je eigen browser is.
- De betaling: je VPN-abonnement betaal je meestal met een kaart of een factuur op naam van je zaak. De aanbieder weet dus wie zijn klant is.
De aanbieder in het midden
Met een VPN schuift het meekijken een plaats op. Wat zonder VPN je internetprovider kan zien, ziet met VPN de server van de aanbieder: met welke servers je verbinding maakt, wanneer en hoeveel. Of de aanbieder dat bewaart, hangt af van zijn beleid en van het land waar hij zit. Wie zijn VPN-dienst niet vertrouwt, heeft geen privacy gewonnen, alleen een nieuwe meekijker gekozen.
Tor: drie tussenpersonen in plaats van één
Het Tor-netwerk lost het probleem van die ene meekijker op door je verkeer via drie servers te sturen, elk met een eigen laag versleuteling. Volgens de uitleg van het Tor-project ziet de eerste server van welke verbinding het verkeer komt, maar niet waar het naartoe gaat, en ziet de laatste waar het naartoe gaat, maar niet van wie het komt. Geen enkele server kent beide. De prijs is snelheid, en het feit dat sommige websites verkeer van Tor weigeren of extra controles opleggen.
Voor zakelijk werk is dat zelden de juiste afweging. Een zaakvoerder die anoniem wil surfen terwijl hij in zijn eigen boekhoudpakket werkt, wil eigenlijk twee tegengestelde dingen tegelijk.
| Zonder VPN | Met een VPN | Met Tor | |
|---|---|---|---|
| Website ziet je IP-adres | Ja | Nee, dat van de VPN-server | Nee, dat van de laatste Tor-server |
| Netwerk ziet welke diensten je gebruikt | Vaak | Nee | Nee |
| Eén partij ziet wie je bent én waar je naartoe gaat | Je internetprovider | De VPN-aanbieder | Geen enkele server |
| Ingelogde accounts weten wie je bent | Ja | Ja | Ja |
Kmo-Kristof: Met mijn VPN ben ik anoniem. Daarom kan ik gerust overal inloggen.
Security-Sofie: Waar log je in?
Kmo-Kristof: Gmail, LinkedIn, de bank.
Security-Sofie: Die weten dus allemaal wie er inlogt.
Kmo-Kristof: Maar niet van waar.
Security-Sofie: Van een server in Amsterdam, op jouw naam. Erg anoniem is dat niet.
Wat je IP-adres eigenlijk zegt
Een VPN verbergt vooral je IP-adres. Hoeveel dat adres over je zaak prijsgeeft, en hoeveel niet, staat bij wat je IP-adres prijsgeeft.
De lichtere tussenpersoon
Een proxy doet een deel van wat een VPN doet, zonder versleuteling. Waarom dat voor anonimiteit nog minder oplevert, lees je bij een proxy als tussenpersoon.
Wat er mag
Een VPN verbergt je IP-adres, maar maakt niets legaal wat het zonder VPN niet is. Wat de Belgische regels zeggen, lees je bij wat de wet toelaat.