מהו VPN? איך הוא עובד, מה הוא מסתיר והיכן הוא לא מספיק

מהו VPN ואיך הוא עובד?

רשת פרטית וירטואלית (VPN) היא שירות שמנתב את כל תעבורת האינטרנט של המכשיר שלכם דרך מנהרה מוצפנת בין המכשיר לבין שרת VPN; משם התעבורה יוצאת אל היעד הסופי שלה ^[1]. הצפנה מערבלת נתונים כך שרק מי שמחזיק במפתח הנכון יכול לקרוא אותם. מאחר שהבקשות שלכם נראות כאילו הן מגיעות משרת ה-VPN, ה-VPN מסווה את כתובת ה-IP שלכם, הכתובת המספרית שמעידה על המיקום הכללי שלכם ושאפשר להשתמש בה כדי לזהות אתכם ^[1].

Cloudflare מתארת את החיבור בארבעה שלבים: לקוח ה-VPN (האפליקציה במכשיר שלכם) מתחבר דרך ספק שירותי האינטרנט (ISP) בחיבור מוצפן; הספק מעביר את החיבור לשרת ה-VPN; שרת ה-VPN מפענח את הנתונים ומתחבר לאתר בשמכם; והקישור המוצפן בין הלקוח לשרת הוא מה שנקרא מנהרת ה-VPN ^[2]. שרתי האינטרנט רושמים אז ביומנים רק את כתובת ה-IP של שרת ה-VPN ^[2].

מה קורה במכשיר?

מבחינה טכנית, לקוח VPN יוצר ממשק רשת וירטואלי, מתאם רשת שקיים בתוכנה בלבד, ומשתמש בו כדי להצפין ולפענח תעבורה לפני שהיא עוברת לחומרת ה-Wi-Fi או ה-Ethernet האמיתית ^[3]. אם כל התעבורה עוברת דרך המנהרה, מדובר ב-VPN של מנהרה מלאה (full tunnel); אם חלק מהתעבורה, כמו תעבורת הרשת המקומית, מורשה לעקוף אותה, מדובר ב-VPN של מנהרה מפוצלת (split tunnel) ^[3].

למה משמשים רשתות VPN?

קרן החזית האלקטרונית (EFF), ארגון לזכויות דיגיטליות, מציינת שרשתות VPN מתאימות בעיקר לדבר אחד, ניתוב החיבור שלכם דרך רשת אחרת, וזה שימושי בשני מצבים: עקיפת צנזורה ברשת שחוסמת אתרים, והתחברות לרשת המשרד ממקום אחר ^[1]. Cloudflare מוסיפה לרשימת השימושים הנפוצים הגנה ברשתות Wi-Fi ציבוריות ועקיפת הגבלות תוכן מבוססות מיקום ^[2].

מה VPN מסתיר, וממי?

VPN מסתיר את התעבורה היוצאת שלכם מספק האינטרנט ומבעל הרשת המקומית, כמו בית קפה או מלון ^[1]. מאחר שהמנהרה שעוברת דרך ספק האינטרנט מוצפנת, הספק אינו יכול לראות מה אתם עושים בתוכה ^[2]. מנקודת המבט של אתר, אתם נראים כאילו אתם נמצאים במקום שבו נמצא שרת ה-VPN ^[1].

הפשרה פשוטה ולעיתים קרובות מתפספסת: בזמן ש-VPN מסתיר את הגלישה שלכם מספק האינטרנט, כל הגלישה גלויה לספק ה-VPN ^[1]. EFF מציינת שספק VPN יכול למכור את המידע הזה, בדיוק כמו שספק אינטרנט יכול ^[1]. ההסבר של Cloudflare עצמה קובע שמשתמשים יכולים להרגיש בטוחים עם VPN רק אם הם סומכים על ספק ה-VPN, משום שספק לא הגון יכול למכור מידע על משתמשים או להשאיר אותם חשופים למתקפות ^[2].

VPN גם אינו מגן על הנתונים שלכם מפני מפעיל הרשת הפרטית שאליה אתם מצטרפים. ב-VPN ארגוני, מי שמפעיל את הרשת הארגונית רואה את התעבורה שלכם; ב-VPN מסחרי, מי שמפעיל את השירות רואה אותה ^[1]. בקיצור, VPN מעביר את האמון מחברה אחת (ספק האינטרנט או בעל רשת ה-Wi-Fi) לחברה אחרת (ספק ה-VPN); הוא אינו מבטל את הצורך באמון.

ממה VPN אינו יכול להגן עליכם?

פרסומות לשירותי VPN טוענות לעיתים קרובות שהם עוצרים עבריינים, נוזקות, מעקב ממשלתי ומעקב מקוון; EFF קובעת שהפרסומות האלה מגזימות מאוד ביתרונות ^[1]. המגבלות העיקריות הן:

• מעקב. VPN אינו כלי לאנונימיות. חברות עדיין יכולות לעקוב אחריכם באמצעות GPS, עוגיות, פיקסלי מעקב או טביעת אצבע דיגיטלית ^[1].
• חשבונות והיסטוריה. VPN אינו מונע מרשויות אכיפת החוק להשיג היסטוריית גלישה שנשמרה בדפדפן שלכם או בחשבון שאתם מחוברים אליו ^[1].
• בקשות משפטיות לספק. ספקי VPN כפופים בעצמם לבקשות של רשויות אכיפת החוק, ורבים מהם שומרים מידע רב כמו ספקי האינטרנט ^[1]. הספק חייב לציית לחוקי המדינות שבהן הוא פועל ^[1].
• קישור דרך התשלום. תשלום בכרטיס אשראי קושר את הזהות שלכם לחשבון, והספק עדיין עשוי לאסוף את כתובת ה-IP שלכם ^[1].

האם תעבורה יכולה לדלוף החוצה מ-VPN?

כן. במאי 2024 פרסמה Leviathan Security Group את TunnelVision (CVE-2024-3661), טכניקה שמשתמשת בתכונה מובנית של DHCP, הפרוטוקול שמחלק הגדרות רשת, כדי לאלץ את תעבורת המשתמש לצאת ממנהרת ה-VPN כך שתישלח בלי הצפנה ^[3]. מאגר הפגיעויות הלאומי של ארה״ב מתאר את הבעיה: אפשרות 121 של DHCP יכולה להוסיף נתיבים לטבלת הניתוב של המכשיר, ותוקף באותה רשת מקומית יכול לקרוא, לשבש ואולי גם לשנות תעבורה שהייתה אמורה להיות מוגנת על ידי ה-VPN ^[4].

בבדיקות של החוקרים, ה-VPN המשיך תמיד לדווח שהוא מחובר, ומתג החירום (kill switch, תכונה שחוסמת תעבורה אם חיבור ה-VPN נופל) מעולם לא הופעל ^[3]. Android לא הושפעה, משום שאינה מיישמת את אפשרות 121 של DHCP ^[3]. החוקרים הסיקו שרשתות VPN לא תוכננו להתמודד עם מתקפות ברשת המקומית הפיזית, ושהבטחה אחרת היא מסוכנת ^[3].

ומה לגבי מהירות?

חלק מהמשתמשים חווים חיבורים איטיים יותר, בהתאם לקיבולת השרתים של הספק, ושרת VPN שרחוק גם מהמשתמש וגם מהאתר מוסיף השהיה ^[2].

האם צריך VPN ברשת Wi-Fi ציבורית?

לא תמיד. EFF מציינת שבעבר הייתה זו עצה סטנדרטית להשתמש ב-VPN ברשת Wi-Fi ציבורית, אבל כיום הדבר כבר אינו הכרחי באותה מידה לכולם, משום שרוב תעבורת הרשת מוצפנת כיום ב-HTTPS ^[1]. HTTPS היא הגרסה של פרוטוקול הרשת המוגנת במנעול, שמצפינה את מה שאתם שולחים לאתר ומקבלים ממנו.

HTTPS מגן על תוכן התקשורת, לא על המטא־נתונים ^[1]. באתר HTTPS, גורמים לאורך הדרך יכולים בדרך כלל לראות את שם הדומיין (למשל wikipedia.org) ואת מועד הביקור, וגם את גודל הדפים והקבצים, אבל לא את הדף הספציפי, את שם המשתמש שלכם או את ההודעות שלכם ^[1]. VPN יכול להסתיר את המטא־נתונים האלה ממי שמאזין ברשת המקומית, אבל ספק ה-VPN יראה את כולם ^[1].

EFF מציעה ש-VPN עשוי להיות שימושי כשאתם חייבים להשתמש ברשת ציבורית שאינכם סומכים עליה ויש לכם VPN שאתם כן סומכים עליו ^[1]. גם נציבות הסחר הפדרלית של ארה״ב (FTC) הזהירה שרשתות Wi-Fi ציבוריות חינמיות אינן מאובטחות לעיתים קרובות, והעצות שלה מ-2018 לגבי אפליקציות VPN נוסחו סביב אבטחת מידע שנשלח ברשתות Wi-Fi ציבוריות ^[5]. שימו לב שאפליקציית VPN לא מעודכנת עלולה שלא להגן עליכם היטב גם אז; EFF מביאה את TunnelVision כדוגמה ^[1].

אילו פרוטוקולי VPN בטוחים?

פרוטוקול הוא מערכת הכללים ש-VPN משתמש בה כדי לבנות את המנהרה ולהצפין אותה. אם VPN משתמש בהצפנה פרוצה כמו Point-to-Point Tunneling Protocol (PPTP), אפשר לפענח בקלות את הנתונים שעוברים דרכו ולצפות בהם ^[1]. EFF מצביעה על OpenVPN ו-WireGuard כשני הפרוטוקולים שהפכו נפוצים בשירותים לצרכנים ^[1].

המפתחים של WireGuard מתארים אותו כ-VPN פשוט, מהיר ומודרני שמשתמש בקריפטוגרפיה מתקדמת, כמו מסגרת הפרוטוקולים Noise, Curve25519 ו-ChaCha20, ומציינים שהוא נבדק על ידי קריפטוגרפים ^[7]. הוא תוכנן להיות קטן מספיק כדי שאדם אחד יוכל לבדוק אותו במלואו, בניגוד לבסיסי הקוד הגדולים בהרבה של IPsec או OpenVPN ^[7].

לגבי ארגונים, המרכז הלאומי לסייבר של בריטניה (NCSC) מציין שהפרוטוקולים הנפוצים ביותר הם TLS ו-IPsec, ממליץ על IPsec לגישת VPN משום שהוא תקן פתוח המובנה במערכות הפעלה רבות, ומציין ש-WireGuard נראה מבטיח אבל עדיין לא הוכיח את עצמו בסביבות ארגוניות ^[6]. ה-NCSC מזהיר גם שחלק מרשתות הצד השלישי מגבילות או חוסמות תעבורת IPsec, בעוד שרשתות VPN מבוססות TLS יכולות להיות אמינות יותר כשהן עוברות דרך חומות אש ארגוניות ^[6].

לעיתים מבלבלים בין iCloud Private Relay של Apple לבין VPN. השירות נועד להגן על הגלישה ב-Safari, הוא שולח בקשות דרך שני ממסרים נפרדים כך שאף גורם יחיד, אפילו לא Apple, רואה גם מי אתם וגם באילו אתרים אתם מבקרים, והוא אינו זמין בכל המדינות או האזורים ^[10].

איך בוחרים VPN אמין?

ארבע הבדיקות של ה-FTC לפני שימוש באפליקציית VPN הן: לחקור את האפליקציה לפני שמורידים אותה, לבחון את בקשות ההרשאה שלה, לוודא שהיא מצפינה את המידע שלכם, ולבדוק אם היא משתפת את המידע שלכם עם צדדים שלישיים ^[5]. EFF מוסיפה שאלות נוספות ^[1]:

1. קראו את מדיניות הפרטיות. ספק עשוי לתעד את הנתונים שלכם אם אינו שולל זאת במפורש, והצהרה על היעדר תיעוד אינה ערובה ^[1].
2. שאלו איך הוא מרוויח כסף. חלק משירותי ה-VPN חינמיים אבל מוכרים את הנתונים שלכם; אחרים משתמשים במגבלות נתונים במודל פרימיום או במנויים מתחדשים ^[1].
3. חפשו ביקורות פומביות. ביקורות אבטחה בלתי תלויות הן סימן טוב, אבל הנהלים יכולים להשתנות אחרי הביקורת ^[1].
4. בררו מי מפעיל אותו. היו ספקניים לגבי VPN שאיש אינו מעמיד את המוניטין שלו מאחוריו, ובדקו בדף „אודות” שלו מי המייסדים או העובדים ^[1].
5. בדקו את המדינה. הספק כפוף לחוקים במקום שבו הוא פועל, כולל כללים לגבי בקשות ממשלתיות לנתונים ^[1].

האם הופעה בחנות אפליקציות מספיקה?

לא. EFF מזהירה שלא להניח שאפליקציית VPN בטוחה רק משום שהיא נמצאת ב-Google Play או ב-Apple App Store ^[1]. הנחיות הבדיקה של Apple לאפליקציות (App Review Guidelines) קובעות שאפליקציות VPN אינן רשאיות למכור נתונים לצדדים שלישיים, להשתמש בהם או לחשוף אותם לכל מטרה שהיא ^[9]. ובכל זאת, Tech Transparency Project דיווח ב-1 באפריל 2025 ש-20 מתוך 100 אפליקציות ה-VPN החינמיות המובילות ב-App Store האמריקני במהלך 2024 היו בבעלות חברות סיניות, שאף אחת מהן לא חשפה בבירור את הבעלות הזו, ושהאפליקציות האלה הורדו יותר מ-70 מיליון פעמים ^[8]. Google Play מציגה תג Verified לחלק משירותי ה-VPN, ו-EFF מתארת אותו כהצצה קטנה להבטחות האבטחה של האפליקציה ולא כתחליף לבדיקה עצמאית ^[1].

האם VPN חוקי בכל מקום?

לא. EFF ממליצה להתעדכן במדיניות ה-VPN של מדינות ספציפיות, כולל איסורים, ומציינת שפלטפורמות סטרימינג חוסמות יותר ויותר מכשירים שנראה שהם משתמשים ב-VPN ^[1]. Apple מחייבת מפתחים שמציעים אפליקציית VPN בטריטוריה שבה נדרש רישיון VPN לספק את פרטי הרישיון ^[9]. זהו מידע כללי, לא ייעוץ משפטי; בדקו את החוק במקום מגוריכם.

מה המצב באיראן?

הדוח Freedom on the Net 2024 של Freedom House מציין שאיראנים רבים נשענים על VPN כדי להגיע לשירותים בין־לאומיים שהרשויות חוסמות ^[11]. בפברואר 2024 אסרה המועצה העליונה למרחב הקיברנטי על שימוש ב-VPN ללא רישיון, והודיעה שאנשים פרטיים יצטרכו להגיש בקשה לרכישת VPN מורשה באישור הממשלה ^[11]; אנליסטים שמצוטטים בדוח אומרים שההחלטה הפכה לעבירה פלילית לא רק את ההפצה והמכירה של VPN אלא גם את השימוש בו ^[11]. לפי אותו דוח, משרד התקשורת וטכנולוגיית המידע הודיע באוקטובר 2022 שכל מי שמוכר או משתמש ב-VPN לא חוקי עלול לעמוד לדין לפי סעיף 753 בחוק העונשין, ושירותים כמו NordVPN, Proton VPN ו-TunnelBear לא היו נגישים בתקופה שהדוח מכסה ^[11]. הדוח Freedom on the Net 2025 מוסיף שביוני 2025 הוטל ניתוק אינטרנט כמעט מוחלט בכל רחבי המדינה ^[12].

האם רשתות VPN עסקיות שונות?

כן. VPN עסקי מחבר עובדים למערכות פנימיות במקום להסוות את מיקומם. ה-NCSC מציין ששירותי VPN הם חלק ממשטח התקיפה של הארגון החשוף לאינטרנט, ויש לעדכן אותם במהירות כשמשתחררים תיקוני אבטחה ^[6]. הוא מציין גם שיש תועלת מועטה ב-VPN לארגון שאימץ במלואה גישת אפס אמון (zero trust), שבה אף מכשיר אינו נחשב מהימן כברירת מחדל ^[6].

Cloudflare, שמוכרת חלופות כאלה, טוענת שרשתות VPN מסורתיות עלולות להוביל למודל של „טירה וחפיר”, שבו כל מה שנמצא בתוך הרשת זוכה לאמון אוטומטי, ומציינת שעסקים רבים עברו במקום זאת לתכנונים של secure access service edge (SASE) ^[2]. לגבי אנשים פרטיים, העמדה של EFF היא שעבור רבים VPN אינו צעד האבטחה החשוב ביותר; היא מונה הודעות מוצפנות מקצה לקצה בין האמצעים בעלי ההשפעה הרבה יותר ^[1].