Turvassa hotellin Wi-Fissä — ja silti yhteydessä kotiin

Jos käytät aina omaa mobiililiittymääsi kotimaassa etkä koskaan koske julkiseen Wi-Fihin tai tärkeisiin tileihin etäältä, VPN ei ole yhtä tärkeä. Mutta lähes jokaisella ulkomaanmatkalla, jossa käytetään Wi-Fitä tai kirjaudutaan tileille etänä, VPN kuuluu samaan välttämättömien luokkaan kuin matkavakuutus ja pistokesovitin.

• Kirjaudut mihin tahansa hotellin, lentokentän tai kahvilan Wi-Fissä: Avoimet tai jaetut verkot ovat matkustajien tärkein syy VPN:lle. Kaikki, mitä kirjoitat — salasanat, pankkiistunnot, sähköposti — voi olla samassa verkossa olevan muun käyttäjän siepattavissa ilman oikeaa suojausta. VPN salaa jokaisen tavun ennen kuin se lähtee laitteesta, tehden siepatun datan lukukelvottomaksi.
• Haluat pankkisovelluksen, maksujen ja kotimaan sovellusten toimivan: Monet pankit ja maksupalvelut tunnistavat ulkomaisen IP-osoitteen ja lukitsevat istunnon petosepäilyn vuoksi. VPN ohjaa yhteyden suomalaisen palvelimen kautta, jotta pankki näkee tutun osoitteen ja sallii kirjautumisen. Ilman VPN:ää saldon tarkistus, korttimaksun vahvistus tai kaksivaiheisen tunnistautumisen läpivienti voi epäonnistua.
• Suoratoistokirjasto, uutiset tai urheilulähetykset ovat sinulle tärkeitä: Suoratoistopalvelut vaihtavat sisältökirjastoa alueen mukaan tekijänoikeussyistä. Uutissivustot ja urheilulähetysten tarjoajat tekevät saman. VPN-yhteys Suomen kautta palauttaa maksamasi sisällön käyttöön, mukaan lukien suorat lähetykset, jotka muuten jäisivät näkemättä.
• Kohde on verkkoympäristö, joka rajoittaa käyttöä: Jotkin verkot estävät suosittuja viestisovelluksia, some-alustoja tai pilvipalveluita. Hyvä VPN pääsee näiden estojen läpi, koska paikallinen verkko näkee vain salatun liikenteen VPN-palvelimelle — ei sitä, mitä palvelua oikeasti käytät.

VPN (Virtual Private Network) luo salatun tunnelin laitteesi ja VPN-palveluntarjoajan ylläpitämän palvelimen välille. Kaikki lähettämäsi kulkee tämän tunnelin kautta ennen kuin se pääsee laajempaan internetiin. Kaikille, jotka tarkkailevat verkkoa — hotellin Wi-Fi-järjestelmä, muut vieraat samassa SSID:ssä, paikallinen internetpalveluntarjoaja — liikenne näyttää merkityksettömältä salatulta datalta, joka virtaa yhteen palvelimeen. Sisältöä, vierailtuja sivustoja tai salasanoja ei voi lukea tai siepata.

VPN-palvelin toimii välittäjänä: ottaa vastaan salatun pyynnön, purkaa sen salauksen, välittää sen halutulle sivustolle tai sovellukselle, saa vastauksen, salaa sen uudelleen ja lähettää sen takaisin tunnelin kautta laitteeseesi. Sivuston näkökulmasta pyyntö tulee VPN-palvelimen sijainnista, ei todellisesta sijainnistasi. Tämän vuoksi VPN pitää pankkisovelluksen ja suoratoistokirjastot toiminnassa normaalisti — niiden näkökulmasta olet yhä kotona.

Kaikki tämä tapahtuu jatkuvasti ja huomaamattomasti. VPN-yhteyden ollessa päällä käytät puhelinta tai kannettavaa aivan normaalisti. Sivut latautuvat, sovellukset toimivat, sähköposti lähtee ja saapuu. Ainoa ero on, että kaikki matkalla salataan ja todellinen sijaintisi piilotetaan.

Julkinen Wi-Fi on matkustajien tärkein syy siirtyä VPN:ään, eikä riski ole vain teoreettinen. Hotellien aulat, lentokenttien terminaalit, asemalaiturit ja kahvilat käyttävät kaikki avointa tai jaettua verkkoa. Näissä verkoissa perustyökaluin varustautunut pahantahtoinen toimija voi asettua laitteesi ja reitittimen väliin niin sanotulla man-in-the-middle-hyökkäyksellä — lukien ohitse kulkevaa dataa huomaamatta. Yleisempi muoto on evil twin: väärennetty yhteyspiste, jonka nimi muistuttaa esimerkiksi Hotel_Guest_WiFi ja näyttää aidolta, mutta jota pahantahtoinen toimija oikeasti hallitsee. Laite kytkeytyy automaattisesti vahvimpaan signaaliin, ja siitä hetkestä lähtien kaikki lähetetty kulkee laitteen kautta, jota et itse hallitse.

Suurin osa nykyverkosta käyttää HTTPS:ää, joka salaa yksittäisen selainistunnon sisällön. HTTPS ei kuitenkaan kata kaikkea. Se ei kata sähköpostisovellusta, joka tarkistaa uutta postia taustalla. Se ei kata useimpien viestisovellusten metadataa. Se ei kata DNS-hakuja, jotka paljastavat jokaisen hiljaa vierailemasi verkkotunnuksen. VPN salaa kaiken tämän laitetasolla, ennen kuin verkko edes näkee sitä. Jopa vaarantuneessa Wi-Fissä verkon ylläpitäjä saa käsiinsä vain lukukelvotonta dataa.

Toinen ryhmä koskee sijaintitietoisia palveluita. Pankkien verkkosivut havaitsevat ulkomaisen IP-osoitteen ja käynnistävät petostentorjunnan, lukiten tilin kunnes soitat asiakaspalveluun — hankalaa, kun olet kuuden aikavyöhykkeen päässä. Suoratoistoalustat näyttävät erilaisen tai kokonaan estetyn sisältökirjaston. Lento- ja hotellivarauspalvelut mukauttavat joskus hintoja havaitun sijainnin mukaan. VPN-yhteys valitun maan palvelimen kautta kumoaa kaiken tämän: pankki näkee sinun olevan yhä kotona, suoratoistopalvelu tarjoaa normaalin kirjaston, varaussivusto ei voi mukauttaa hintaa sijaintisi mukaan.

Ja tiukasti suodattavissa verkoissa — yritysten Wi-Fi, joidenkin hotellien verkot, joidenkin maiden suodatusjärjestelmät — laadukas VPN pääsee läpi suoraan, koska suodatin näkee vain salatun liikenteen VPN-palvelimelle. Oikeasti käytetty palvelu pysyy suodattimelta piilossa.

• VPN ei tee sinusta anonyymiä: VPN-palveluntarjoaja näkee todellisen IP-osoitteesi ja sivustot, joihin yhdistät. Luotettavat palveluntarjoajat lupaavat riippumattomasti auditoidun ei-lokittavan käytännön, mutta se on silti heidän lupauksensa — sitä pitää luottaa. Jos tavoite on täydellinen anonymiteetti (mikä ei ole tyypillinen matkustajan tarve), pelkkä VPN ei riitä.
• VPN hidastaa yhteyttä hieman: Salaus vaatii hieman laskentatehoa, ja etäpalvelimen kautta reititys lisää matkaa. Laadukkaat palveluntarjoajat aiheuttavat tyypillisesti 10–30 %:n nopeuden laskun raakanopeudesta — tuskin huomattavissa selailussa ja sähköpostissa, selvemmin huomattavissa videopuheluissa ja suurten tiedostojen latauksissa. Valitse mahdollisimman lähellä todellista sijaintiasi oleva palvelin vaikutuksen minimoimiseksi.
• Jotkin verkot yrittävät estää VPN:n aktiivisesti: Jotkin yritysten Wi-Fi-verkot, hotellien captive portal -järjestelmät ja suodatusjärjestelmät käyttävät syvää pakettitarkastusta (deep packet inspection) tunnistaakseen ja katkaistakseen VPN-liikenteen. Huippupalveluntarjoajat vastaavat tähän piilotusominaisuuksilla, jotka saavat VPN-liikenteen näyttämään tavalliselta HTTPS-selailulta. Kun yhteys epäonnistuu, protokollan vaihtaminen tai piilotustilan käyttöönotto ratkaisee ongelman useimmiten.
• Jotkin palvelut havaitsevat VPN:n käytön: Pankit ja suoratoistopalvelut pitävät listaa tunnetuista VPN-palveluntarjoajien IP-alueista. Jotkin estävät nämä alueet kokonaan, toiset sallivat pääsyn mutta merkitsevät istunnon lisätarkastukseen — ylimääräisiä koodeja, tilapäisiä jäädytyksiä, jälkikäteisiä ilmoituksia. Tämä on turvajärjestelmä toimimassa suunnitellusti, ei virhe. Matkapäivien ilmoittaminen pankille etukäteen vähentää kitkaa huomattavasti.

• Asenna jokaiseen mukaan otettavaan laitteeseen: Puhelin, kannettava, tabletti. Huippupalveluntarjoajat sallivat viidestä kymmeneen samanaikaista yhteyttä tiliä kohden, joten kaikki laitteet voi suojata ilman kirjautumisten vaihtelua. Asenna natiivisovellus selainlaajennuksen sijaan — laajennus salaa vain selainvälilehden, natiivisovellus salaa kaiken laitteen lähettämän.
• Testaa oikeilla tehtävillä: Yhdistä suomalaiseen palvelimeen ja tarkista, mitä oikeasti tarvitset: kirjautuuko pankki sisään, tuleeko pankkisovelluksen kaksivaiheisen tunnistautumisen koodi perille, toimiiko suoratoisto, latautuvatko työkalut. Kokeile sitten palvelinta lähempänä kohdetta ja tarkista samat asiat. Jos jokin ei toimi kotona, se ei toimi ulkomaillakaan — korjaa se nyt.
• Ota kill switch käyttöön: Kill switch on tärkein ominaisuus matkustamiseen. Se estää kaiken internetliikenteen, jos VPN-yhteys katkeaa odottamatta — mikä tapahtuu kannettavan herätessä lepotilasta, Wi-Fi-verkkoa vaihdettaessa tai hotellin signaalin ollessa epävakaa. Ilman sitä laite palaa hiljaa suojaamattomaan verkkoon, ja pankkisovellus saattaa lähettää pyynnön todellisella IP-osoitteella ennen kuin huomaat mitään.
• Tarkista DNS-vuotosuoja: DNS-haut muuntavat verkkosivujen nimet osoitteiksi. Jos haku vuotaa VPN-tunnelin ulkopuolelle, kuka tahansa verkkoa tarkkaileva näkee jokaisen vierailemasi verkkotunnuksen, vaikka sivun sisältö olisikin salattu. Laadukkaat VPN-sovellukset reitittävät DNS:n automaattisesti tunnelin kautta, mutta vahvista tämä DNS-vuototestisivustolla yhteyden ollessa päällä.
• Tunne varaprotokolla: Jos oletusprotokolla ei yhdistä kohteessa, vaihtotavan tunteminen on tärkeää. Useimmilla palveluntarjoajilla on useita vaihtoehtoja — WireGuard, OpenVPN — ja osalla oma piilotustilansa. Vaihto WireGuardista OpenVPN-over-TCP-443:een (jonka useimmat suodattimet tulkitsevat tavalliseksi verkkoliikenteeksi) on vakioratkaisu.

• Ilmaisen VPN:n käyttö: Ilmaiset VPN-palveluntarjoajat tarvitsevat tulonlähteen, ja jos et maksa rahalla, maksat datalla. Ilmaiset palveluntarjoajat ansaitsevat usein myymällä selaushistoriaa mainostajille, upottamalla mainoksia sivuille tai ajamalla raskaita taustaprosesseja laitteessa. Useita tunnettuja ilmaissovelluksia on tavattu tekemästä kaikkia kolmea samanaikaisesti. Turvallisuustyökalusta, joka asennettiin suojaamaan dataa, tuleekin sen kaivaja. Maksullinen matkustajan VPN maksaa kuukaudessa vähemmän kuin yksi kuppi kahvia lentokentällä.
• Ei testata ennen matkaa: Ulkomailla huomaaminen, ettei sovellus asennu, tilaus on vanhentunut tai palvelu on estetty kohteessa, on huonoin mahdollinen hetki saada tämä tietää. Uuden sovelluksen lataaminen ja yhteysongelmien ratkominen ulkomaisessa verkossa, jossa voi olla kieli- ja kaistanleveysrajoitteita, on paljon vaikeampaa kuin kotona.
• VPN pois päältä julkisessa Wi-Fissä: VPN suojaa vain silloin, kun se on todella yhteydessä. Monet matkustajat avaavat VPN:n vain pankkiasioihin mutta selaavat muuten ilman sitä, jättäen DNS-haut, selaushistorian ja salaamattoman taustasovellusliikenteen paljaaksi. Julkisessa Wi-Fissä turvallisin tapa on pitää VPN päällä koko ajan.
• Kill switchin unohtaminen: VPN on toiminnassa, selailet turvallisesti, ja sitten hotellin Wi-Fi katkeaa kolmeksi sekunniksi. Ilman kill switchia laite yhdistyy hiljaa uudelleen ilman suojaa, pankkisovellus lähettää pyynnön todellisella IP-osoitteella, ja tuo lyhyt hetki riittää tietovuotoon. Kill switch on olemassa juuri tätä varten — pidä se aina päällä.
• Täydellisen anonymiteetin odottaminen: VPN suojaa paikallisen verkon uhkilta ja avaa alueellisesti rajoitettuja palveluita, mutta ei tee sinusta näkymätöntä verkossa. VPN-palveluntarjoaja itse, sivustot joihin kirjaudut (evästeiden ja tilien kautta) ja laitteesi itse voivat yhä tunnistaa sinut. Matkustustarkoituksiin tämä suojan taso on enemmän kuin riittävä — mutta rajat kannattaa ymmärtää selkeästi.

Yhdistä-painiketta painettaessa laite ja VPN-palvelin suorittavat salaustekniikan kättelyn (cryptographic handshake). Molemmat osapuolet vaihtavat salausavaimia epäsymmetrisellä salauksella — prosessi, joka luo yhteisen salaisuuden ilman että itse salaisuutta koskaan lähetetään verkon yli. Kättelyn valmistuttua kaikki sen jälkeinen liikenne salataan nopealla symmetrisellä algoritmilla, kuten AES-256 tai ChaCha20.

Kaksi yleisintä protokollaa hoitavat tämän eri tavoin. WireGuard on nykyaikainen oletus: pieni ja helposti auditoitava koodikanta (noin 4 000 riviä verrattuna vanhempien protokollien satoihin tuhansiin), käyttää vain UDP:tä, ja toimii erinomaisesti mobiililaitteilla, joissa akku on tärkeä. Sen pääasiallinen rajoitus on juuri tämä pelkkä UDP-käyttö — verkon ylläpitäjä voi estää sen helposti katkaisemalla epätavallisten porttien ei-TCP-liikenteen.

OpenVPN on vanhempi ja joustavampi vaihtoehto, joka toimii sekä UDP:llä että TCP:llä, ja kun se asetetaan käyttämään TCP-porttia 443 — sama portti kuin kaikki HTTPS-verkkosivut käyttävät — perustason palomuurin on erittäin vaikea erottaa sitä tavallisesta selailusta. Tämä tekee OpenVPN:stä paremman vaihtoehdon rajoitetuissa verkoissa, vaikkakin hieman WireGuardia hitaammin.

Syvä pakettitarkastus (deep packet inspection) on tekniikka, jolla kehittyneet suodattimet tunnistavat VPN-liikenteen jopa vakioporteissa. Jokaisella protokollalla on omanlaisensa tavukuvio pakettiotsikoissa — DPI tarkastaa nämä kuviot tunnistaakseen ja estääkseen VPN-yhteydet. Piilotusominaisuudet vastaavat satunnaistamalla pakettiotsikot ja täyttämällä liikenteen vastaamaan tilastollisesti tavallista HTTPS-selailua. Tämä on jatkuva tekninen kilpavarustelu VPN-palveluntarjoajien ja niitä havaita yrittävien järjestelmien välillä.

DNS-vuoto tapahtuu, kun laite lähettää verkkotunnuksen haun tunnelin ulkopuolelle. Normaalisti verkkosivulle mennessä laite pyytää DNS-palvelinta muuntamaan verkkotunnuksen IP-osoitteeksi. Jos tämä haku menee internetpalveluntarjoajan DNS-palvelimelle VPN:n palvelimen sijaan, kyseinen palveluntarjoaja — ja kuka tahansa verkkoa tarkkaileva — näkee jokaisen sivuston, jolla vierailet, vaikka itse sivun sisältö olisi salattu. Laadukkaat VPN-sovellukset reitittävät DNS:n automaattisesti tunnelin kautta, mutta DNS-vuototestisivustot ovat yksinkertainen tapa vahvistaa tämä.

• Eikö iPhone jo tee tätä iCloud Private Relayn kautta?: Ei oikeastaan. Private Relay on Safarin ja Mailin ominaisuus, ei järjestelmätason VPN — se ei salaa pankkisovelluksen liikennettä, muita sähköpostisovelluksia kuin Apple Mailia, viestisovelluksia tai mitään Safarin ulkopuolista, eikä muuta näkyvää maata tavalla, joka tyydyttäisi pankin tai avaisi kotimaan suoratoistokirjaston. Private Relay on hyödyllinen lisä, mutta ei korvaa matkustajan VPN:ää.
• Toimivatko Netflix ja muut suoratoistopalvelut yhä?: Useimmiten kyllä, joskus jonkin verran kitkaa. Suoratoistopalvelut pitävät listaa tunnetuista VPN-palveluntarjoajien IP-osoitteista, joten yksi palvelin voi olla estetty samalla kun toinen palvelin samassa maassa toimii normaalisti. Vakioratkaisu on vaihtaa toiseen suomalaiseen palvelimeen, kunnes löytyy yksi joka yhdistää. Huippupalveluntarjoajat kierrättävät IP-osoitteita jatkuvasti, mikä on osa sitä, mistä maksat.
• Tarvitsenko VPN:ää, jos käytän vain omaa mobiilidataani?: Mobiilidata on huomattavasti turvallisempaa kuin avoin Wi-Fi — puhelimen ja tukiaseman välinen yhteys on jo salattu, joten et kohtaa man-in-the-middle- tai evil twin -ongelmia. Mobiilidata ei kuitenkaan ratkaise alueellisia estoja (pankki näkee yhä ulkomaisen IP:n, suoratoistokirjasto vaihtuu yhä) eikä muuta sitä tosiasiaa, että roaming- tai paikallinen operaattori näkee yhä, mihin verkkosivuihin yhdistät. Syy VPN:lle on heikompi kuin hotellin Wi-Fissä, mutta ei olematon.
• Pitäisikö VPN:n olla päällä koko ajan ulkomailla?: Julkisessa tai jaetussa Wi-Fissä, pidä se päällä koko ajan. Omalla mobiililiittymällä tarve on pienempi, mutta se lisää yhä yksityisyyttä ja estää pankki- ja suoratoistopalveluita huomaamasta kierrätystä. Vastapainona on pieni nopeuden lasku ja hieman suurempi akunkulutus. Moni kokenut matkustaja pitää sen päällä oletuksena ja sammuttaa vain silloin, kun tarvitsee oikeasti paikallisen IP:n — esimerkiksi navigointisovellukselle, joka ei toimi VPN:n läpi.
• Kuluttaako VPN puhelimen akkua?: Jonkin verran. Salaus vaatii laskentatehoa, joka kuluttaa akkua. Uudemmilla puhelimilla, jotka käyttävät tehokasta protokollaa kuten WireGuard, vaikutus on noin 5–15 % lisäenergiankulutusta koko päivän ajalta — huomattavissa mutta ei kovin haitallista. Jos akku on tärkeä sinä päivänä, pidä VPN päällä vain Wi-Fissä tai tärkeiden palveluiden käytön aikana, ja sammuta se mobiilidatalla silloin, kun se tuntuu riittävän turvalliselta.