Glossário de VPN: Termos e Funcionalidades Explicados

VPN (Virtual Private Network)

Uma VPN é um túnel encriptado entre o seu dispositivo e um servidor gerido por outra pessoa. Tudo o que envia passa por esse túnel, por isso o seu fornecedor de internet e as redes que usa deixam de o poder ler ou de ver que sites visita. Para o resto da internet, o seu tráfego parece vir do endereço IP do servidor VPN, e não do seu.

As pessoas usam uma VPN por três grandes razões: privacidade (esconder a atividade de um ISP ou de uma rede Wi-Fi pública), acesso (chegar a sites bloqueados no seu país ou região) e segurança (proteger dados em redes não fiáveis). Uma VPN não é anonimato: o fornecedor que gere o servidor continua a poder ver o seu tráfego, e é por isso que importa em quem confia, e porque algumas pessoas gerem a sua própria.

Encriptação (AES, ChaCha20)

A encriptação baralha os seus dados de forma a que só o destinatário pretendido os possa ler. As VPN modernas usam cifras como AES-256 ou ChaCha20, ambas consideradas impossíveis de quebrar na prática com a capacidade de computação atual. É isto que impede quem estiver entre si e o servidor - o seu ISP, um atacante na mesma rede Wi-Fi - de ler o seu tráfego.

Uma encriptação forte é o mínimo: todos os fornecedores sérios a oferecem. As diferenças que realmente importam estão noutro lado - no protocolo usado, no facto de o fornecedor guardar ou não registos e em onde está sediado.

Endereço IP

Um endereço IP é o número que identifica o seu dispositivo na internet, um pouco como um remetente num envelope. Revela a sua localização aproximada e liga a atividade à sua conta de ISP. Quando se liga a uma VPN, os sites veem o IP do servidor em vez do seu, e é assim que uma VPN altera a sua localização aparente.

Termos relacionados que vai encontrar mais abaixo: um IP dedicado é aquele que só você usa, e um IP estático é aquele que nunca muda.

DNS (Domain Name System)

O DNS é a lista de contactos da internet: transforma um nome como example.com no endereço IP numérico ao qual o seu dispositivo se liga de facto. Cada site que abre despoleta uma consulta DNS, por isso quem responde a essas consultas vê todo o seu historial de navegação por nome.

Uma boa VPN corre o seu próprio DNS dentro do túnel para que o seu ISP nunca veja estas consultas. Quando isso falha, chama-se fuga de DNS - uma das formas mais comuns de uma VPN o expor silenciosamente.

Túnel

O "túnel" é a ligação encriptada que uma VPN constrói entre o seu dispositivo e o seu servidor. O seu tráfego real viaja lá dentro, embrulhado de tal forma que quem está de fora só vê que existe uma ligação, não o que está dentro dela. A forma como esse túnel é construído e disfarçado é decidida pelo protocolo em uso.

Kill switch

Um kill switch corta a sua internet no instante em que a ligação VPN cai, para que o seu IP real e o seu tráfego nunca fiquem expostos durante essa falha. Sem ele, uma breve reconexão - comum ao mudar de Wi-Fi ou ao acordar um portátil - pode expor a sua identidade durante segundos ou minutos sem que dê por isso.

É a funcionalidade de segurança mais importante para quem usa uma VPN por privacidade. Procure um kill switch sempre ativo ou ao nível do sistema, em vez de um que só funciona dentro da aplicação.

Split tunneling

O split tunneling permite-lhe escolher que aplicações ou sites passam pela VPN e quais usam a sua ligação normal. Pode encaminhar o navegador pela VPN enquanto a sua aplicação bancária, uma impressora local ou um serviço de streaming que só quer à velocidade de casa ficam de fora.

É útil para a velocidade e para serviços que bloqueiam ou se comportam mal em IP de VPN, mas lembre-se de que tudo o que exclui não fica protegido.

Double VPN / MultiHop

Uma Double VPN (também chamada MultiHop) encaminha o seu tráfego por dois servidores em vez de um, encriptando-o duas vezes e mudando o seu IP duas vezes. Mesmo que um servidor fosse comprometido, não veria ao mesmo tempo quem você é e o que está a fazer.

Acrescenta privacidade real para utilizadores de alto risco, ao custo de uma perda de velocidade notável. A maioria das pessoas não precisa dela no dia a dia. Pode construir a mesma ideia por si próprio, encadeando um servidor auto-alojado com Tor.

Ofuscação (stealth)

A ofuscação disfarça o tráfego de VPN para que não pareça uma VPN. As redes que bloqueiam VPN - firewalls nacionais, algumas escolas e locais de trabalho - usam inspeção profunda de pacotes para detetar a assinatura reveladora de um handshake de VPN. A ofuscação remove ou esconde essa assinatura para que a ligação se confunda com tráfego encriptado comum.

É a funcionalidade que decide se uma VPN funciona sequer em países fortemente censurados. Em modo auto-alojado, as opções mais fortes são VLESS + Reality e AmneziaWG.

Tor over VPN

O Tor over VPN envia o seu tráfego para a rede de anonimato Tor depois de sair do servidor VPN. A VPN esconde o seu uso de Tor do seu ISP, e o Tor esconde o seu destino da VPN. É uma combinação forte para o anonimato, mas lenta, e exagerada para a navegação do dia a dia.

Bloqueador de anúncios e rastreadores

Algumas VPN incluem um bloqueador integrado que trava anúncios, rastreadores e domínios de malware conhecidos ao nível do DNS, antes sequer de carregarem. Acelera as páginas e reduz o rastreamento sem uma extensão de navegador separada. É uma funcionalidade de conveniência, não um controlo de privacidade essencial - um bloqueador dedicado costuma ser mais completo.

IP dedicado

Um IP dedicado é um endereço de VPN que só você usa, em vez de um partilhado com centenas de outros utilizadores. Reduz a probabilidade de ser bloqueado ou de ver CAPTCHA constantes (porque mais ninguém "queimou" o IP), e é útil para o acesso remoto a uma rede de trabalho ou a um serviço com lista de permissões.

A contrapartida: um IP ligado só a si é ligeiramente menos privado do que confundir-se numa multidão partilhada.

IP estático

Um IP estático mantém-se igual sempre que se liga, mas pode ainda ser partilhado por um pequeno grupo de utilizadores. É um meio-termo entre um IP dedicado por completo e os habituais IP partilhados rotativos - útil quando um serviço espera que o seu endereço não mude.

Smart DNS

O Smart DNS reencaminha apenas a pequena parte da sua ligação que revela a sua região, para que possa ver bibliotecas de streaming com bloqueio geográfico sem a encriptação completa de uma VPN. É mais rápido do que uma VPN e funciona em dispositivos que não conseguem correr aplicações de VPN, como algumas smart TV e consolas - mas não encripta o seu tráfego nem esconde o seu IP, por isso serve para acesso, não para privacidade.

WireGuard

O WireGuard é um protocolo de VPN moderno, construído para ser rápido e simples. A sua base de código minúscula torna-o rápido, eficiente em termos de bateria e fácil de auditar, e é por isso que a maioria dos fornecedores o oferece agora (por vezes sob um nome de marca como NordLynx). A contrapartida é que o WireGuard puro é fácil de identificar e bloquear pelos censores.

OpenVPN

O OpenVPN é o protocolo há muito estabelecido e testado em batalha que alimentou a maioria das VPN durante mais de uma década. É mais lento do que o WireGuard, mas extremamente maduro e flexível, e a sua capacidade de correr sobre a porta TCP 443 torna-o bom a passar por firewalls restritivas. Continua a ser uma opção por defeito sólida quando a fiabilidade é o que mais importa.

IKEv2 / IPsec

O IKEv2 é um protocolo rápido e estável que é especialmente bom em dispositivos móveis: reconecta-se quase de imediato quando muda entre Wi-Fi e dados móveis, por isso é uma opção por defeito comum nas aplicações de VPN para telemóvel. É bem suportado de forma nativa no iOS e no Windows, embora seja menos flexível do que o WireGuard ou o OpenVPN para contornar bloqueios.

VLESS + Reality

O VLESS é um protocolo de proxy leve, e o Reality é uma técnica que faz o seu tráfego imitar um site HTTPS real - ao ponto de tomar emprestado, em tempo real, o certificado TLS de um site genuíno. Para as ferramentas de inspeção de um censor, parece que está simplesmente a visitar um grande site, o que o torna uma das coisas mais difíceis de bloquear.

É uma escolha auto-alojada e centrada na resistência à censura, em vez de algo que as aplicações mainstream ofereçam.

Shadowsocks

O Shadowsocks é um proxy encriptado leve, concebido desde o início para ser difícil de detetar pelos censores. Transforma o seu tráfego num fluxo de bytes de aparência aleatória, sem assinatura óbvia, e é por isso que há muito é uma escolha de referência para passar por firewalls nacionais. O Outline, da Jigsaw, torna especialmente fácil correr o seu próprio.

AmneziaWG

O AmneziaWG é uma versão ofuscada do WireGuard. Mantém a velocidade do WireGuard, mas altera as assinaturas reveladoras dos pacotes e mistura tráfego de preenchimento, de forma a que a inspeção profunda de pacotes já não o consiga reconhecer como uma VPN. É um meio-termo forte: desempenho próximo do WireGuard com resistência real ao bloqueio.

Política de no-logs

Uma política de no-logs (ou zero-logs) é a promessa de um fornecedor de não registar o que faz enquanto está ligado - os sites que visita, o seu IP real, os carimbos de data e hora. É a afirmação de privacidade mais importante que uma VPN faz, porque um fornecedor que não guarda registos nada tem para entregar caso lho peçam.

Uma promessa vale apenas o que valem as suas provas. Procure uma política sustentada por uma auditoria independente, servidores só em RAM e uma jurisdição favorável à privacidade. O auto-alojamento vira a questão do avesso: você é o único que poderia guardar registos.

Jurisdição (5/9/14 Eyes)

Uma VPN está sujeita às leis do país onde está sediada, que a podem forçar a recolher ou a partilhar dados. Os "5/9/14 Eyes" referem-se a alianças de países que partilham informações de vigilância; os fornecedores sediados fora delas (por exemplo na Suíça ou no Panamá) são muitas vezes vistos como uma aposta mais segura para a privacidade.

A jurisdição importa mais quando acompanhada de uma verdadeira política de no-logs - nada há para exigir se nada for guardado.

Servidores só em RAM (sem disco)

Os servidores só em RAM mantêm tudo em memória volátil em vez de em discos rígidos. Cada reinício apaga-os por completo, por isso não há dados de longo prazo para apreender ou expor. É um forte suporte arquitetónico para uma afirmação de no-logs, agora oferecido por vários grandes fornecedores.

Auditoria independente

Uma auditoria independente é quando uma empresa de segurança externa inspeciona as aplicações, a infraestrutura ou a afirmação de no-logs de uma VPN e publica as suas conclusões. É o mais próximo que existe de uma prova de que um fornecedor faz o que diz. Prefira VPN que tenham sido auditadas recentemente e de forma repetida, não apenas uma vez.

Fuga de DNS

Uma fuga de DNS acontece quando o seu dispositivo envia as suas consultas DNS para fora do túnel VPN - normalmente para o seu ISP - mesmo que o resto do seu tráfego esteja protegido. O resultado é que o seu ISP continua a ver, por nome, cada site que visita, anulando silenciosamente grande parte do objetivo da VPN.

Fuga de IPv6

Muitas VPN só protegem o tráfego IPv4 mais antigo. Se a sua ligação também tiver o mais recente IPv6 e a VPN o ignorar, o seu endereço IPv6 real pode fugir diretamente através do túnel. As boas VPN ou encaminham o IPv6 também pelo túnel ou desativam-no enquanto está ligado.

Fuga de WebRTC

O WebRTC é uma funcionalidade de navegador para chamadas de vídeo que pode revelar o seu endereço IP real aos sites, mesmo com uma VPN ligada. É uma fuga ao nível do navegador e não uma falha da VPN, mas mina na mesma a sua privacidade. Pode bloqueá-la com uma definição ou extensão de navegador e confirmar com um teste de fugas.

DPI (Deep Packet Inspection)

O DPI é uma técnica que as redes e as firewalls nacionais usam para olhar dentro do tráfego e identificar o que ele é - incluindo se é uma VPN - em vez de apenas para onde vai. É a tecnologia por trás da maioria do bloqueio moderno de VPN. A resposta a ela é a ofuscação: fazer o tráfego de VPN parecer algo comum.

Desbloqueio geográfico (streaming)

O desbloqueio geográfico significa usar uma VPN para chegar a conteúdo restrito a certos países, como uma biblioteca de streaming disponível noutro lado. Os serviços de streaming bloqueiam ativamente IP de VPN conhecidos, por isso isto torna-se um jogo do gato e do rato - e é por isso que os fornecedores anunciam com que fiabilidade desbloqueiam plataformas específicas.

P2P / torrenting

O suporte P2P significa que um fornecedor permite a partilha de ficheiros ponto-a-ponto nos seus servidores, muitas vezes em localizações específicas "otimizadas para P2P". Para este uso, um kill switch e uma verdadeira política de no-logs são o que mais importa, uma vez que o seu IP fica, de outro modo, visível para todos os pares do enxame.

Ligações simultâneas

É o número de dispositivos que pode usar numa só subscrição ao mesmo tempo - o seu telemóvel, portátil, TV, os dispositivos de um parceiro. Os números variam de um punhado a ilimitados. Quando faz auto-alojamento, o limite prático é simplesmente a capacidade do seu servidor, e adiciona dispositivos distribuindo mais chaves.