VPNet: Das neue VPN unter der Lupe

Eine Architektur, die Nutzer und Datenverkehr nicht miteinander verknüpfen soll

VP.NET LLC stellt VP.NET als „Zero-Trust“-VPN vor, das verhindern soll, dass Identitäten, zugewiesene IP-Adressen und Online-Aktivitäten miteinander verknüpft werden.

Das Unternehmen erklärt, es könne eine IP-Adresse und einen Zeitpunkt weder einem aktuellen noch einem ehemaligen Nutzer zuordnen. Daher sei es auch nicht in der Lage, diese Informationen zu speichern oder herauszugeben.

Das System nutzt Intel SGX, eine Technologie, die innerhalb von Servern eine geschützte Enclave schafft. Nach Angaben von VP.NET können selbst die Betreiber der Infrastruktur – einschließlich des Unternehmens selbst – nach der Bereitstellung der Software deren Funktionsweise nicht verändern oder Überwachungsmechanismen einführen.

Dabei handelt es sich um Angaben des Anbieters. Unabhängige Tests, die diese Aussagen für die gesamte Infrastruktur bestätigen, wurden nicht genannt.

Was der Dienst bietet

VP.NET LLC wird von den Gründern Matt Kim, Mark Karpeles, Roger Ver und Andrew Lee kontrolliert. Die VPN-Server befinden sich in Rechenzentren von Drittanbietern in Deutschland, Frankreich, den USA, im Vereinigten Königreich und in Japan.

Das Unternehmen gibt an, eigene DNS-Server zu verwenden und durch seine Architektur sowie Obfuscation-Techniken eine Zuordnung zwischen eingehendem und ausgehendem Datenverkehr zu verhindern. Virtuelle Standorte werden hingegen nicht angeboten.

Der Dienst unterstützt Protokolle, die mit den von WireGuard® verwendeten Protokollen kompatibel sind, und empfiehlt WireGuard seinen Nutzern. Außerdem umfasst das Angebot:

• Kill Switch;
• DNS-Leak-Schutz;
• IPv6-Leak-Schutz;
• IPv4-Unterstützung, jedoch keine Dual-Stack-Konfiguration für IPv4/IPv6;
• derzeit keine Unterstützung für Port Forwarding.

Die genauen Versionen des Clients, der Server-Software und der eingesetzten SGX-Komponenten wurden nicht veröffentlicht.

Missbrauch, DMCA und Behördenanfragen

VP.NET erklärt, den Nutzerverkehr nicht überwachen zu können. Geht eine gültige Missbrauchsmeldung ein, können die Systeme dennoch in Echtzeit eingreifen und den beanstandeten Datenstrom blockieren.

Dasselbe Verfahren gilt für DMCA-Meldungen: Das Rechtsteam prüft die Anfrage. Wird sie als berechtigt eingestuft, blockieren die Systeme automatisch die mit diesem Datenstrom verbundenen Übertragungen. Nach Angaben des Unternehmens lässt sich daraus die Identität des Nutzers nicht ableiten.

VP.NET erklärt außerdem, eine Anfrage zur Zuordnung eines Nutzers – auch eines ehemaligen Nutzers – zu seinem Datenverkehr sei mit der eingesetzten Architektur nicht vereinbar. Um diese Daten zu erhalten, wäre nach Auffassung des Unternehmens daher eine Gesetzesänderung oder ein parlamentarisches Verfahren in den USA erforderlich.

Zahlungen, Support und noch zu prüfende Aspekte

Kartenzahlungen werden über Stripe abgewickelt. Kryptowährungen aller Art, einschließlich Privacy-orientierter Währungen, können direkt akzeptiert werden. Außerdem plant das Unternehmen die Einführung von Geschenkkarten für mehrere hundert Marken.

VP.NET gibt an, Zahlungsdaten weder mit der Nutzung des Kontos noch mit zugewiesenen IP-Adressen zu verknüpfen. Der Support wird über interne Systeme abgewickelt; für gewöhnliche E-Mails können Nutzer Gmail verwenden. Die Website bindet außerdem Google Analytics ein.

Das Unternehmen erklärt, sämtlichen Datenverkehr gleich zu behandeln, auf Port Forwarding zu verzichten und Datenströme nicht mit Identitäten zu verknüpfen. Unabhängige Prüfungen müssen jedoch noch klären, wie die SGX-Enclaves tatsächlich konfiguriert sind, wie Kill Switch und Leak-Schutz implementiert wurden und welches Verhalten die Clients nach außen zeigen.

Für Interessierte sind derzeit keine verwundbaren Versionen oder sicherheitsrelevanten Updates bekannt, die installiert werden müssten. Dennoch empfiehlt es sich, die offiziellen Clients zu überprüfen, den Kill Switch zu aktivieren und DNS, IPv4 sowie IPv6 regelmäßig in einem Testnetz zu kontrollieren.