Vad en VPN faktiskt döljer, och vad den inte gör

Innan du betalar för en VPN-tjänst är det värt att förstå exakt vad den gör rent tekniskt, utan säljsnack om att den gör dig “osynlig” eller “helt anonym”. En VPN löser ett bestämt tekniskt problem väl, men löser inte allt som har med integritet på nätet att göra. Den här texten går igenom var gränsen går.

Vad en VPN faktiskt gör

En VPN, förkortning för virtuellt privat nätverk, skickar din internettrafik genom en krypterad tunnel till en server som drivs av VPN-leverantören. För de sajter och tjänster du besöker ser det ut som att trafiken kommer från leverantörens server, inte från din egen ip-adress. Din internetleverantör, eller nätverket du sitter på, till exempel ett öppet wifi på ett kafé eller hotell, ser att du är ansluten till en VPN-server, men inte vad som faktiskt skickas genom tunneln eftersom trafiken är krypterad.

Det här löser två konkreta problem. Dels döljer det din faktiska IP-adress för sajterna du besöker, som i stället ser leverantörens serveradress. Dels skyddar krypteringen innehållet i din trafik från nätverket du sitter på, vilket är särskilt relevant på nätverk du inte litar på, som publikt wifi.

Vad en VPN inte gör

Här är det lika viktigt att vara tydlig om gränserna. En VPN döljer inte vem du är inloggad som. Loggar du in på Google, Facebook eller din bank medan VPN:en är aktiv, vet de tjänsterna precis vem du är, oavsett vilken IP-adress trafiken kommer ifrån. VPN:en byter bara vägen trafiken tar, inte din identitet i de tjänster du använder.

En VPN skyddar inte heller mot webbläsarfingeravtryck, som är ett sätt att känna igen en enhet baserat på skärmstorlek, installerade typsnitt, webbläsarversion och liknande, helt utan att behöva en IP-adress eller cookie. Den tar inte bort cookies och stoppar inte spårare som redan finns inbäddade på de sidor du besöker. Den tar inte heller bort dig från söktjänster som visar upp person- och adressuppgifter, det är en helt annan process, se till exempel vår genomgång av hur du tar bort dig från Mrkoll.

Sammanfattat: en VPN gör dig inte anonym. Den byter ut en sak, din synliga IP-adress, mot en annan, leverantörens IP-adress, och krypterar vägen däremellan.

Varför förtroendet bara flyttas, inte försvinner

Det här är kanske den viktigaste poängen: en VPN flyttar förtroendet från din internetleverantör till VPN-leverantören. Utan VPN kan din internetleverantör i teorin se vilka sajter du besöker. Med VPN kan i stället VPN-leverantören se det, eftersom all din trafik passerar genom deras servrar. Du har inte tagit bort någon som kan se din trafik, du har bytt ut vem det är.

Det är därför sådant som var leverantören har sitt säte, vilken loggpolicy de har, och om den policyn har granskats oberoende, spelar en så stor roll när man väljer VPN. Att en tjänst påstår sig inte logga någonting är inte samma sak som att påståendet är verifierat.

Några exempel på hur leverantörer själva beskriver detta, som du kan ha i bakhuvudet: Proton VPN uppger enligt leverantören att apparna är öppen källkod och att loggpolicyn granskats årligen av Securitum. Mullvad uppger enligt leverantören att inget konto med e-postadress krävs, du får i stället ett kontonummer, och att bolaget finns i Göteborg. NordVPN, Surfshark och ExpressVPN uppger samtliga enligt respektive leverantör att de har granskade loggpolicyer. Det här är uppgifter från leverantörerna själva, inte oberoende bekräftade fakta i den här texten, men det är den typen av uppgifter som är relevanta att jämföra när man väljer tjänst.

Vill du se en faktisk genomgång och jämförelse av tjänster, har vi det samlat separat på /vpn. Den här artikeln handlar om tekniken och begreppen, inte om att rangordna leverantörer.

Tekniska detaljer värda att förstå innan du väljer

Några begrepp återkommer när man läser om VPN-tjänster, och det är bra att veta vad de betyder innan man tittar på en jämförelse:

• Kill switch: en funktion som stänger av din internetanslutning helt om VPN-tunneln oväntat bryts, så att din riktiga IP-adress inte plötsligt exponeras utan att du märker det.
• DNS-läckage: när uppslagningar av webbadresser (DNS-förfrågningar) går utanför den krypterade VPN-tunneln och i stället skickas via din vanliga internetleverantör, trots att VPN:en är påslagen. Det gör att leverantören ändå kan se vilka domäner du besöker.
• Betalning utan konto: möjligheten att betala för en VPN-tjänst på ett sätt som inte kopplar ditt riktiga namn eller din e-postadress till kontot, vilket minskar hur mycket VPN-leverantören själv vet om vem du är.

Dessa tre är rimliga saker att kontrollera hos en leverantör innan du bestämmer dig, oavsett vilken tjänst du lutar åt.

Var VPN-tjänsten faktiskt körs

De flesta VPN-tjänster erbjuder appar för dator och mobil separat, och de behöver aktiveras var för sig. Har du appen påslagen på datorn men inte i mobilen, är det bara datorns trafik som går genom den krypterade tunneln, mobilens trafik går som vanligt. Vissa routrar går att ställa in så att VPN-anslutningen gäller alla enheter som är anslutna till nätverket, men det kräver att routern stödjer det och att du konfigurerar den själv, det är inte något som sker automatiskt bara för att du har ett VPN-abonnemang.

Ett näraliggande begrepp är delad tunnling (split tunneling), som innebär att du väljer att bara viss trafik, till exempel en specifik app, ska gå genom VPN-tunneln medan resten av din internettrafik går den vanliga vägen. Det kan vara användbart om du bara vill skydda en enskild tjänst utan att låta all annan trafik gå den, ofta något långsammare, vägen via VPN-servern.

Gratis VPN-tjänster förtjänar extra eftertanke

Att en VPN-tjänst är gratis är inte i sig ett problem, men det är värt att fråga sig hur tjänsten finansierar sin drift, eftersom servrar och bandbredd kostar pengar att driva oavsett om du betalar direkt eller inte. Samma kriterier som gäller betalda tjänster, hemvist, loggpolicy och om den granskats oberoende, är minst lika relevanta att titta på för en gratistjänst, snarare än att anta att gratis automatiskt betyder sämre eller bättre.

Vanliga missförstånd om VPN

Ett vanligt missförstånd är att en VPN gör att man kan surfa helt spårlöst och att ingen kan se vad man gör. Som beskrivet ovan stämmer det inte: VPN-leverantören kan i regel se trafiken, om än inte innehållet i krypterad HTTPS-trafik, och de tjänster du loggar in på vet fortfarande vem du är. Ett annat missförstånd är att en VPN ersätter grundläggande säkerhetsvanor, som att ha unika lösenord och tvåfaktorsautentisering. En VPN skyddar transporten av data, inte dina konton. Om du vill stärka kontoskyddet är nästa steg snarare att se över dina lösenord, se lösenordshanterare för nybörjare.

När en VPN faktiskt gör nytta

Trots gränserna ovan finns tydliga situationer där en VPN gör verklig nytta: på öppna wifinätverk där du inte litar på nätverket i sig, för att undvika att din internetleverantör bygger en detaljerad bild av vilka domäner du besöker över tid, eller när du vill att sajter du besöker inte ska se din faktiska plats utifrån IP-adressen. Det är begränsade, konkreta scenarier, snarare än ett allmänt “bli anonym”-verktyg.

Vad du gör sedan

Bestäm först vilket problem du faktiskt vill lösa: är det nätverket du sitter på, sajternas insyn i din IP-adress, eller något annat? Utifrån det kan du sedan titta på faktorer som hemvist, granskad loggpolicy, kill switch, skydd mot DNS-läckage och möjlighet att betala utan konto. En fullständig jämförelse mellan konkreta tjänster utifrån de kriterierna hittar du på /vpn. Kom ihåg att en VPN är ett verktyg bland flera, inte en universallösning, den löser inte samma problem som att ta bort dig från söktjänster eller att städa dina spår i webbläsaren.