Perlindungan VPN
Dalam konfigurasi VPN konvensional, seluruh lalu lintas internet Anda dialirkan melalui satu server yang dioperasikan oleh penyedia VPN. Inilah artinya dalam praktiknya:
- Enkripsi: Lalu lintas data Anda dienkripsi antara perangkat Anda dan server VPN, sehingga mencegah pihak yang mengintai secara lokal (seperti penyedia layanan internet atau operator Wi-Fi publik) untuk melihat apa yang Anda lakukan.
- Anonimisasi (sebagian): Alamat IP Anda disembunyikan dari dunia luar dan diganti dengan alamat IP server VPN.
Kerentanan VPN tradisional
Namun, ada satu hal penting yang perlu diperhatikan: server VPN itu sendiri justru menjadi titik pengawasan yang sangat kuat. Sistem ini mendeteksi alamat IP asli Anda dan tujuan akhir lalu lintas internet Anda. Meskipun koneksinya terenkripsi, penyedia VPN tetap dapat melacak setiap situs web yang Anda kunjungi serta waktu kunjungannya. Pada dasarnya, Anda telah mengganti kepercayaan terhadap penyedia layanan internet (ISP) Anda dengan kepercayaan terhadap penyedia VPN Anda.
Dalam sebagian besar skenario penggunaan di dunia nyata, seperti menjelajah web, data di dalam terowongan VPN dienkripsi pada lapisan aplikasi menggunakan HTTPS. Artinya, meskipun penyedia VPN dapat melihat server mana yang Anda tuju (misalnya, alamat IP atau bahkan nama domain, melalui metadata DNS atau TLS), mereka tidak dapat membaca isi sebenarnya dari komunikasi Anda, seperti halaman web yang Anda buka atau data yang Anda masukkan dalam formulir. Meski demikian, penyedia layanan tetap memiliki akses ke metadata koneksi, seperti alamat IP tujuan, domain (dalam beberapa kasus), volume lalu lintas, dan informasi waktu, yang masih dapat digunakan untuk menganalisis profil aktivitas pengguna.
Mengapa dua lompatan? Masuk ke VPN multi-hop
Untuk mengatasi masalah sentralisasi ini, VPN 2-hop—yang sering disebut sebagai VPN terdesentralisasi (dVPN)—mengarahkan lalu lintas melalui dua server terpisah: node masuk dan node keluar. Inti dari gagasan ini adalah bahwa tidak ada satu pun server pun yang seharusnya dapat mengaitkan identitas Anda dengan aktivitas Anda:
- Node masuk (atau gateway) dapat melihat alamat IP Anda, tetapi tidak dapat melihat alamat IP tujuan akhir lalu lintas Anda di internet
- Node keluar dapat melihat alamat IP tujuan akhir, tetapi tidak mengetahui identitas Anda.
Model perwalian terpisah ini secara signifikan meningkatkan privasi jika kedua node tersebut dijalankan oleh entitas-entitas yang independen dan tidak bersekongkol. Tapi itu “jika” yang besar. Misalnya, jika sebuah perusahaan atau entitas tunggal mengoperasikan baik server masuk maupun server keluar, mereka dapat menghubungkan dan merekonstruksi jejak seluruh aktivitas Anda. Hal ini membawa kita kembali ke masalah awal mengenai kepercayaan terpusat yang disebutkan di atas.
WireGuard: Empat cara merancang VPN dua hop
Mari kita pelajari berbagai cara untuk membuat VPN 2-hop menggunakan WireGuard, sebuah protokol VPN yang cepat dan modern yang terkenal karena kesederhanaannya dan kinerjanya yang baik. Setiap metode memiliki implikasi privasi yang berbeda-beda.
1. Satu terowongan WireGuard ke node keluar
Cara kerjanya
Klien membuat terowongan WireGuard secara langsung dengan node keluar. Node masuk hanya meneruskan paket-paket yang telah dienkripsi melalui terowongan tanpa melakukan enkripsi maupun dekripsi apa pun. Koneksi dari klien ke simpul masuk dapat menggunakan protokol transportasi apa pun, misalnya QUIC, TCP, atau bahkan terowongan yang disamarkan, tergantung pada apa yang didukung oleh sistem.
Implikasi privasi
Karena lalu lintas yang diteruskan oleh node masuk dienkripsi di dalam terowongan WireGuard antara klien dan node keluar, node masuk tidak memiliki akses ke isi lalu lintas maupun alamat IP tujuan. Karena tidak ada koneksi langsung antara klien dan node keluar, node keluar tidak mengetahui alamat IP klien.
Namun, perlu dicatat bahwa terowongan WireGuard yang dibentuk antara klien dan node keluar memerlukan pertukaran kunci publik. Ini berarti node keluar mengetahui kunci publik klien, dan karena kunci WireGuard secara default berlaku dalam jangka waktu yang lama, node keluar pada prinsipnya dapat melacak dan menghubungkan aktivitas klien di berbagai sesi, meskipun alamat IP-nya berubah. Meskipun rotasi kunci dapat mengurangi risiko ini, hal tersebut tidak ditangani secara otomatis oleh WireGuard. Akibatnya, node keluar dapat menghubungkan identitas klien dengan tujuan akhir lalu lintas tersebut. Oleh karena itu, konfigurasi ini berpotensi memungkinkan dilakukannya pemantauan profil klien dalam jangka panjang.
2. Satu terowongan WireGuard ke node masuk
Cara kerjanya
Klien membuat terowongan WireGuard dengan node masuk, yang kemudian mendekripsi lalu lintas data dan meneruskannya ke node keluar melalui saluran biasa. Koneksi antara node masuk dan node keluar dapat menggunakan protokol transportasi apa pun, namun hal tersebut bukan bagian dari terowongan WireGuard yang dibentuk bersama klien.
Implikasi privasi
Karena terowongan WireGuard berakhir di node masuk, node masuk dapat melihat alamat IP klien dan tujuan yang dituju. Meskipun node keluar hanya melihat lalu lintas dari node masuk dan tidak dapat mengaitkannya dengan klien asli, node masuk memiliki akses baik ke identitas klien maupun ke tujuan, sehingga node tersebut dapat menghubungkan siapa pengguna tersebut dan ke mana tujuannya. Jika tujuan Anda adalah agar identitas klien dan tujuan tidak dapat dihubungkan, model ini tidak akan berhasil karena node masuk dapat melihat kedua ujung percakapan tersebut. Oleh karena itu, dari sudut pandang privasi, hal ini tidak lebih baik daripada VPN konvensional.
3. Terowongan WireGuard yang dirantai (enkripsi ulang di node masuk)
Cara kerjanya
Klien membuat terowongan WireGuard dengan node masuk. Node masuk mendekripsi lalu lintas klien, kemudian mengenkripsinya kembali untuk dikirim ke node keluar melalui terowongan WireGuard yang baru. Node keluar mendekripsi terowongan kedua ini dan meneruskan lalu lintas ke tujuan akhir.
Desain ini melibatkan dua terowongan WireGuard yang terpisah:
- Satu dari klien ke simpul masuk
- Satu jalur dari simpul masuk ke simpul keluar
Klien hanya berpartisipasi dalam terowongan pertama. Yang kedua sepenuhnya dikelola oleh node masuk dan node keluar.
Implikasi privasi
Karena terowongan WireGuard klien berakhir di node masuk, node masuk tersebut memiliki akses penuh terhadap identitas dan aktivitas pengguna. Sistem ini dapat melihat alamat IP asli klien serta isi lalu lintas yang telah didekripsi, termasuk alamat IP tujuan dan data apa pun yang tidak terenkripsi. Ini berarti node masuk dapat memeriksa, mencatat, atau mengubah lalu lintas sebelum meneruskannya.
Sebaliknya, node keluar menerima lalu lintas dari node masuk melalui terowongan WireGuard yang terpisah. Sistem ini tidak mengetahui alamat IP klien asli, tetapi dapat melihat alamat IP tujuan dan semua konten dalam bentuk teks biasa. Pendekatan ini menawarkan peningkatan parsial dibandingkan VPN satu lompatan karena melibatkan dua simpul, namun simpul masuk tetap dapat mengetahui identitas klien maupun tujuan. Hanya node keluar yang tidak mengetahui asal lalu lintas tersebut. Selain itu, tanpa enkripsi pada lapisan aplikasi (misalnya, HTTPS), isi komunikasi tersebut juga dapat diakses oleh kedua node.
4. Terowongan WireGuard bersarang (pendekatan "terowongan dalam terowongan" dari NymVPN)
Cara kerjanya
Dalam konfigurasi ini, klien membuat dua terowongan WireGuard yang bersarang: terowongan dalam menuju node keluar dan terowongan luar menuju node masuk. Terowongan bagian dalam dibuat terlebih dahulu dan membungkus lalu lintas data yang sebenarnya; kemudian, terowongan bagian luar membungkus terowongan bagian dalam tersebut.
Lalu lintas data dienkripsi terlebih dahulu di node keluar, kemudian dienkripsi kembali di node masuk. Node masuk hanya mendekripsi terowongan WireGuard bagian luar dan meneruskan terowongan WireGuard bagian dalam—yang masih terenkripsi sepenuhnya—ke node keluar. Node keluar kemudian mendekripsi lapisan dalam dan meneruskan lalu lintas tersebut ke tujuan akhirnya.
Implikasi Terkait Privasi
Inilah pendekatan yang digunakan oleh Mode Cepat NymVPN, yang memanfaatkan terowongan WireGuard bersarang untuk menjaga agar tidak ada hubungan yang dapat dilacak antara pengguna dan tujuan mereka. Jadi, mari kita lihat cara kerjanya.
Karena node masuk hanya mendekripsi terowongan WireGuard bagian luar, node tersebut tidak memiliki akses ke isi lalu lintas atau alamat IP tujuan. Sistem ini mengetahui alamat IP klien, karena membangun terowongan luar secara langsung dengan klien, tetapi sistem ini hanya dapat melihat terowongan WireGuard bagian dalam yang ditujukan untuk node keluar. Sistem tersebut tidak dapat memeriksa, mengubah, atau mengetahui apa pun mengenai tujuan tersebut.
Sementara itu, node keluar mendekripsi terowongan WireGuard bagian dalam dan melihat alamat IP tujuan akhir serta lalu lintas yang telah didekripsi. Namun, node tersebut hanya menerima paket dari node masuk dan tidak dapat mengetahui alamat IP asli maupun identitas klien.
Pemisahan informasi yang ketat ini berarti bahwa tidak ada satu pun node yang, secara terpisah, dapat menghubungkan sumber (IP klien) dengan tujuan (IP server). Node masuk mengetahui siapa pengguna tersebut, tetapi tidak mengetahui ke mana tujuan mereka. Node keluar mengetahui ke mana lalu lintas tersebut ditujukan, tetapi tidak mengetahui dari siapa asalnya. Selama kedua node tersebut dioperasikan secara independen dan tidak saling berbagi log maupun metadata, konfigurasi ini menjamin ketidakterkaitan yang kuat antara identitas pengguna dan aktivitas daringnya. Bahkan jika satu node diretas, node tersebut tidak dapat sepenuhnya mengungkap identitas pengguna sendirian.
Sama seperti pada kasus terowongan WireGuard tunggal ke node keluar, klien harus bertukar kunci publiknya dengan node keluar. Akibatnya, kecuali klien mengganti kuncinya secara berkala, node keluar dapat mengaitkan identitas WireGuard klien tersebut dengan aktivitas daringnya dari waktu ke waktu.
Namun, dalam konfigurasi terowongan tunggal ke node keluar, jika tidak digunakan enkripsi transportasi tambahan, seorang pengamat jaringan yang mampu memantau baik sambungan antara klien dan node masuk, maupun sambungan antara node masuk dan node keluar, dapat mengkorelasikan pola lalu lintas dan berpotensi menghubungkan klien dengan node keluar tertentu. Hal ini melemahkan sifat tidak dapat dilacak dan meningkatkan risiko profilasi melalui analisis lalu lintas.
Kesimpulan: Desain VPN itu penting
"Desentralisasi” sering kali dijadikan slogan dalam pemasaran VPN, tetapi manfaat privasi yang sesungguhnya berasal dari cara sistem tersebut dirancang, bukan dari sebutannya. Pengaturan VPN 2-hop bisa jauh lebih baik dalam hal privasi, tetapi hanya jika:
- Simpul masuk dan simpul keluar dioperasikan oleh pihak-pihak yang independen dan tidak saling berkolusi
- Protokol dan desain terowongan tersebut mencegah pemeriksaan lalu lintas dan korelasi
Jika Anda sedang mengevaluasi solusi dVPN atau berencana untuk mengimplementasikannya, ingatlah: desentralisasi bukan sekadar soal memiliki lebih banyak node, melainkan soal mendistribusikan kepercayaan sedemikian rupa sehingga tidak ada satu pihak pun yang dapat menyusun gambaran lengkap mengenai aktivitas online Anda.
