VPN vs szyfrowany transfer: czy potrzebujesz obu?

VPN tuneluje ruch sieciowy przez pośrednika, ukrywając cele przed Twoim ISP i siecią lokalną. Zaszyfrowany transfer plików szyfruje zawartość pliku tak, że tylko odbiorca może go odczytać. Rozwiązują różne problemy: VPN chroni metadane połączenia (które strony odwiedzasz, z jakimi IP się kontaktujesz), podczas gdy szyfrowany transfer chroni ładunek (co jest wewnątrz .pdf który wysłałeś). Rzadko potrzebujesz obu dla jednego ryzyka, ale używanie obu nic nie kosztuje i zamyka luki, których żadne z nich nie pokrywa samodzielnie. VPN bez E2EE ujawnia pliki dostawcy VPN; E2EE bez VPN ujawnia metadane serwerowi odpowiednika WeTransfer.

Co VPN naprawdę ukrywa

VPN tworzy tunel TLS lub WireGuard z Twojego urządzenia do serwera operowanego przez dostawcę VPN. Twój ISP widzi zaszyfrowany ruch do szwedzkiego IP Mullvada; nie widzi, że odwiedzasz hexatransfer.com. Strona docelowa widzi IP VPN jako Twoje źródło. Wewnątrz tunelu Twoje TLS do miejsca docelowego nadal działa normalnie — VPN nie czyta go, chyba że dostawca złamie swoją obietnicę braku logów. Czego VPN nie robi: nie szyfruje samego pliku. Jeśli serwer docelowy przechowuje Twój upload w plaintexcie, VPN ukrył tylko to, kto przesłał, a nie co zostało przesłane.

Co szyfrowany transfer pliku ukrywa

Szyfrowany transfer end-to-end używa AES-256-GCM z kluczem wyprowadzonym z hasła lub losowego fragmentu URL. Operator serwisu widzi tylko kryptotekst — nie może odczytać pliku, nie może odpowiedzieć na nakaz w sprawie jego zawartości, nie może trenować na nim AI. Czego E2EE nie ukrywa: Twojego adresu IP łączącego się z serwisem, rozmiaru pliku, czasu i (zazwyczaj) faktu, że transfer nastąpił. Wycieki metadanych pozostają. Obserwator w Twojej sieci widzi „Alicja przesłała 4,2 GB do hexatransfer.com o 14:03 UTC" nawet jeśli nie widzi pliku.

Modele zagrożeń, w których każde wygrywa

Wybierz VPN gdy Twoim zagrożeniem jest inwigilacja na poziomie sieci: wrogi ISP, atakujący na kawiarniowym Wi-Fi, kraj blokujący określone strony, korporacyjne proxy rejestrujące URL. Wybierz zaszyfrowany transfer gdy Twoim zagrożeniem jest operator serwisu, nakaz skierowany do serwisu, naruszenie magazynu chmurowego lub organy ścigania przejmujące serwer. Wybierz oba gdy Twoim zagrożeniem jest zaawansowany przeciwnik korelujący metadane między warstwami — np. dziennikarz wysyłający dokumenty źródła do redakcji lub informator unikający atrybucji.

Gdzie sam VPN zawodzi

Serwisy jak NordVPN, Mullvad i ProtonVPN nie szyfrują tego, co przesyłasz do docelowych serwisów poza TLS. Jeśli przesyłasz .docx 200 MB do serwisu, który przechowuje go w plaintexcie (niektóre stare korporacyjne serwisy nadal tak robią), VPN ukrył Twój IP, ale serwis trzyma Twój dokument czytelny. Ponadto sami dostawcy VPN mogą być skompromitowani — logi PureVPN z 2017 roku pomogły FBI zidentyfikować stalkera mimo ich marketingu „bez logów". Twój model zagrożeń musi ufać operatorowi VPN, co nie jest zero trust.

Gdzie sam szyfrowany transfer zawodzi

Jeśli IP HexaTransfer zostanie zablokowane przez Twój kraj (Rosja blokowała kilka serwisów transferu plików w 2024 roku), szyfrowanie po stronie klienta nie pomoże Ci dotrzeć do serwisu. Jeśli Twój ISP rejestruje Cię odwiedzającego stronę, te metadane same w sobie mogą wzbudzić podejrzenia w autorytarnych kontekstach. Dziennikarz w wrogim reżimie używający wyłącznie E2EE ujawnia, że zdarzenie udostępniania źródła nastąpiło, nawet jeśli treść pozostaje prywatna. Dla tego profilu Tor plus E2EE lub VPN plus E2EE to właściwy stos.

Łączenie obu: praktyczna kombinacja

Uruchomienie VPN najpierw, a następnie przesłanie zaszyfrowanego pliku, dostarcza mocnych właściwości: VPN ukrywa przed Twoim ISP, że używasz hexatransfer.com, E2EE ukrywa zawartość pliku przed serwisem, a żaden pojedynczy operator nie widzi jednocześnie Twojej tożsamości i Twojego pliku. WireGuard dodaje ok. 3–5 ms latencji i pomijalny narzut przepustowości na nowoczesnym sprzęcie. Szyfrowanie AES-256-GCM dodaje 500 ms wyprowadzania PBKDF2 plus kilka procent CPU podczas przesyłania. Dla pliku 1 GB przez łącze 100 Mbps całkowity narzut to poniżej 2 sekund. Łącz je.

Korporacyjne VPN i problem split-tunelingu

Biznesowe VPN (Cisco AnyConnect, Palo Alto GlobalProtect) kierują ruch pracowników przez korporatywną bramę wykonującą inspekcję TLS. Ta brama termynuje Twoje HTTPS, czyta plaintext i ponownie szyfruje do miejsca docelowego. Jeśli przesyłasz niezaszyfrowany plik, zespół bezpieczeństwa (lub skompromitowany administrator) go widzi. Szyfrowanie po stronie klienta pokonuje to — kryptotekst wewnątrz tunelu TLS pozostaje nieprzejrzysty dla proxy inspekcji, bo proxy nie ma klucza AES. Ma to znaczenie gdy legalnie musisz wysłać dokumenty osobiste przez laptop służbowy.

Tor jako trzecia opcja

Dla ekstremalnej ochrony metadanych Tor bije zarówno VPN jak i szyfrowany transfer. Trzy przeskoki, routing cebulowy, żaden pojedynczy węzeł nie widzi jednocześnie źródła i miejsca docelowego. Serwis transferu uruchamiający adres .onion v3 (56-znakowy hostname base32, klucze ed25519) zapewnia jeszcze lepszą prywatność niż dostęp oparty na IP plus VPN. Ograniczeniem jest prędkość: obecna przepustowość Tor uśredniona po obwodzie to 50–200 Mbps, więc plik 10 GB zajmuje dłużej. SecureDrop używa tego stosu dla przyjmowania dokumentów przez redakcje; dla codziennego udostępniania plików VPN plus E2EE to lepszy kompromis.

Ekspozycja prawna i efekt mrożący

W niektórych jurysdykcjach używanie VPN samo w sobie jest podejrzane — Chiny, Rosja, ZEA, Iran ograniczają VPN. Przepisy o szyfrowaniu w Wielkiej Brytanii (Online Safety Act 2023) i Australii (TOLA 2018) tworzą reżimy wymuszonej pomocy, które mogłyby zmusić dostawcę VPN do logowania docelowych użytkowników. E2EE gdzie serwis nie trzyma kluczy chroni przed wymuszoną pomocą, bo nie ma nic do przekazania. Dlatego organizacje dziennikarskie jak Freedom of the Press Foundation zalecają Tor + SecureDrop + PGP zamiast komercyjnego VPN + standardowego transferu.

Prosta rekomendacja

Dla większości ludzi wysyłających .pdf do swojego księgowego sam zaszyfrowany transfer jest wystarczający — zagrożeniem jest dostęp operatora serwisu, nie inwigilacja sieci. Dla ludzi w niezaufanych sieciach (hotelowy Wi-Fi, lotnisko) dodaj VPN. Dla ludzi z antagonistycznymi modelami zagrożeń (dziennikarze, aktywiści, prawnicy obsługujący wrażliwe sprawy) dodaj Tor. Narzędzia się uzupełniają; wybór jednego nie wyklucza innych. Inwestuj w minimum, które Twój model zagrożeń wymaga, pomiń resztę.

Wypróbuj na hexatransfer.com — bezpłatnie, bez konta, do 10 GB.