Wat die tonnel versleutel, en wat leesbaar bly

Jou tonnel is op, een oortjie wys 'n groen slot, en 'n gewone HTTP-bladsy in 'n ander oortjie waarsku steeds dat die verbinding nie veilig is nie. Daardie kombinasie verwar mense omdat die twee beskermings verskillende afstande dek. 'n VPN beskerm verkeer tussen sy eie eindpunte, en anderkant die uitgang is die verkeer weer gewoon. HTTPS beskerm een verbinding tot by die webwerf. Om daardie twee feite bymekaar te bring, verduidelik die meeste vrae oor wat 'n VPN werklik verberg.

Wat die tonnel werklik dek

Tussen die kliënt en die VPN-eweknie sien 'n waarnemer versleutelde grepe eerder as 'n leesbare versoek. Dit dek die segment wat die tonnel kruis, gewoonlik die deel wat jy nie beheer nie. Dit strek nie na die skakel tussen die VPN-uitgang en die webwerf nie, want die tonnel het by die uitgang geëindig. Die grepe is weer leesbaar van die oomblik dat die tonnel eindig. Niks daarvan is 'n verkeerde opstelling nie.

Die uitgang is 'n masjien wat ontsyfer en aanstuur, wat presies is waarvoor 'n VPN dien. Alles wat dit aanstuur, is vir hom sigbaar in die vorm waarin hy dit ontvang het, so 'n gewone HTTP-versoek bly gewone teks vanaf die uitgang.

Lees dit as 'n eienskap eerder as 'n gebrek. Versleuteling is beperk tot 'n pad, en die pad eindig waar die diens begin.

Sleutels, nonces en integriteit in gewone taal

Lopende verkeer word met simmetriese kriptografie beskerm, en beide kante lei of verkry die sleutelmateriaal tydens die handdruk. Geverifieerde versleuteling, in algemene terme beskryf deur RFC 5116, gee vertroulikheid en integriteit in een konstruksie. Die ontvanger verwerp gewysigde grepe eerder as om net nie daarin te slaag om dit te lees nie, en dit is die deel wat mense vergeet wanneer hulle dink versleuteling beteken deurmekaar krap.

Sleutels kom uit daardie uitruiling, nie uit die wagwoord wat by aanmelding getik word nie. Die wagwoord verifieer 'n identiteit, en die protokol vestig dan sessiemateriaal. Efemere sleuteluitruiling is wat vooruitgeheimhouding gee, so 'n opgeneemde sessie bly onleesbaar selfs as 'n langtermynsleutel later uitlek.

'n Groot getal in 'n spesifikasie beantwoord nie een van daardie vrae nie, en om getalle oor onverwante algoritmes te vergelyk is nie 'n rangorde nie. Vra eerder wat die sleuteluitruiling bied.

Waar die tonnel eindig

Die eindpunt wat die tonnel beëindig, kan lees wat hy aanstuur. Dit geld vir 'n korporatiewe poort, 'n kommersiële verskaffer en 'n self-gehoste bediener net so. Dit is die ontwerp, nie 'n gebrek daarin nie. Sterk kriptografie kan nie 'n gekompromitteerde eindpunt keer om gewone teks te lees wat daar aankom nie, want die eindpunt is waar die beskerming stop.

HTTPS gaan verby daardie punt, en daarom kan 'n webwerf op 'n vyandige netwerk veilig wees selfs sonder 'n VPN. Die twee beskermings oorvleuel op die eerste segment en net een van hulle gaan ná die uitgang voort.

Dit is ook waarom die verswakking van sertifikaatverifikasie om 'n verbinding te laat werk, nie 'n toets van die tonnel is nie. Dit skakel 'n ander beskerming uit en laat jou met minder as waarmee jy begin het.

Waarom anonimiteit 'n ander produk is

Adresse, tydsberekening en volume bly buite die tonnel waarneembaar. 'n Waarnemer kan sien dat verkeer na 'n VPN-eindpunt vloei, ongeveer hoeveel, en wanneer. Inhoud kan onleesbaar wees terwyl die patroon steeds insiggewend is.

Die verskaffer sit ook op 'n ander plek as jou eie netwerk, wat 'n verandering van waarnemer is eerder as 'n verwydering van waarneming. Koekies, aanmeldings en rekening-identifiseerders werk presies soos voorheen, want die tonnel het nooit belowe om hulle te verander nie.

Kies 'n verskaffer op grond van sy logbeleid en jurisdiksie as dit die vereiste is, en lees dan die beleid self. Bemarkingsbladsye antwoord selde daardie vraag op 'n manier wat enigiemand kan oudit.

Kontroleer die tonnel en die webwerf afsonderlik

Verifieer eers die tonnel, sodat jy weet watter beskerming jy toets. Verifieer dan die webwerf se eie vervoer, en vergelyk die twee resultate in plaas daarvan om aan te neem dat die een die ander impliseer. 'n Tonnel wat gewone HTTP dra en 'n webwerf wat HTTPS lewer, doen albei presies waarvoor hulle opgestel is.

Voer die kontroles uit teen 'n gasheer wat jy mag toets, en lees die uitset eerder as die opsomming.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

Wanneer die tonnel op is en die webwerf HTTPS is, het jy twee beskermings op die eerste segment en een op die tweede. Wanneer die webwerf gewone HTTP is, is die tweede segment leesbaar vir enigiemand daarop, insluitend die uitgang wat die versoek aangestuur het. Om te weet watter van die twee ontbreek, is die hele diagnose, en dit neem twee opdragte eerder as 'n nuwe kliënt.