Hoekom HTTPS steeds saak maak nadat die VPN-tonnel eindig

Groen VPN-aanwyser, private gevoel, en dan gooi ’n blaaier ’n sertifikaatwaarskuwing op die bankwerf. Niks aan daardie waarskuwing word deur die tonnel verbeter nie. ’n VPN beskerm die pad van jou toestel tot by sy eie bediener; HTTPS beskerm die versoek van jou blaaier tot by die webwerf se TLS-punt. Hulle dek verskillende bene van die reis, en een vervang nie die ander nie.

Twee tonnels met twee verskillende eindpunte

Die VPN-tonnel eindig by die VPN-bediener. Verder as daardie punt gaan jou verkeer oor die gewone internet na die bestemming. Die operateur van die VPN kan die verbindingsmetadata sien, selfs al kan hy nie die vrag lees nie.

HTTPS begin by jou blaaier en eindig by die webwerf se TLS-punt. Dit maak nie saak hoe die pakket by die bediener aankom nie, en dit hang nie daarvan af dat die VPN teenwoordig is nie.

Daarom werk die twee beskermings saam eerder as om te kompeteer. Die VPN versteek die versoek vir die plaaslike netwerk en vir jou ISP tot by sy uitgang. HTTPS versteek dit vir elke waarnemer ná daardie uitgang, insluitend die VPN-verskaffer self. Nie een dek die ander se leemte nie. Iemand wat dit begryp, hou op vra watter een genoeg is.

’n Gewone HTTP-vorm bly gewoon ná die uitgang

’n Ouer werf wat ’n vorm oor HTTP aanvaar, is onbeskermd buite die VPN-bediener. Die tonnel dra die vorm tot by die uitgang, en die res van die roete dra dit oop.

Gebruik die egte HTTPS-weergawe of ’n ander amptelike kanaal vir alles wat sensitief is.

’n Gekoppelde aanwyser verander nie die toepassing se transport nie. Die blaaier se HTTPS-only-modus kan help om ’n onbedoelde terugval te voorkom, maar dit kan nie ’n werf regmaak wat nooit TLS aangebied het nie.

’n Sertifikaatwaarskuwing word nie deur ’n VPN genees nie

’n Verkeerde hostnaam, ’n vervalde sertifikaat, ’n skewe toestelklok of onderskepping kan almal ’n validasiefout veroorsaak. Die VPN maak nie een daarvan onskadelik nie.

Kontroleer die presiese adres en die stelselklok voor enigiets anders.

As ’n netwerk-aanmeldbladsy betrokke is, gebruik die platform se normale captive-portal-vloei. Moenie ’n permanente uitsonderking aan ’n onverwante rekeningwerf gee omdat ’n hotelnetwerk jou gevra het nie.

Op ’n bestuurde toestel, vra of ’n inspeksiesertifikaat geïnstalleer is. Dit verander die gewone vertrouensreëling en verdien ’n spesifieke verduideliking eerder as ’n skouerophaal. Vra vir die sertifikaat se doel en wie dit besit.

Enkripsie stop nie naspeuring nie

Die sessie dra koekies, aanmeldings en vormdata na die werf presies soos bedoeld. ’n Naspeurder kan ook op ’n geënkripteerde verbinding ry, en die meeste doen dit.

’n VPN verander die roete en die skynbare uitgangsadres. Dit verander nie die identiteit wat jy deur ’n rekening verskaf nie, en dit wis nie die koekie wat jou tussen werwe volg nie.

Hou die blaaierbeskermings wat jy alreeds gebruik. Die VPN is ’n toevoeging daartoe, nie ’n plaasvervanger nie.

Kontroleer die adres, nie die aanwyser nie

Verifieer die hostnaam in die adresbalk en die sertifikaat wat die werf voorlê. Die slot beteken die verbinding is tot een of ander eindpunt geënkripteer; dit beteken nie die eindpunt is die een wat jy bedoel het nie.

Twee opdragte wys die sertifikaat en die herleidingsketting:

curl -sSI https://bank.example/ | head -5
openssl s_client -connect bank.example:443 -servername bank.example < /dev/null 2>/dev/null | openssl x509 -noout -subject -dates

As die sertifikaat ’n ander gasheer noem, stop. As die klok verkeerd is, regstel dit voor jy weer probeer. As ’n herleiding jou na gewone HTTP stuur, behandel dit as ’n fout van die werf eerder as ’n rede om validasie uit te skakel. Die blaaierwaarskuwing bestaan omdat die alternatief is om te raai watter eindpunt jou wagwoord ontvang het.