لماذا لا يزال HTTPS مهماً بعد انتهاء نفق VPN

مؤشر VPN أخضر، وشعور بالخصوصية، ثم يطلق المتصفح تحذيراً بشأن الشهادة على موقع البنك. لا شيء في ذلك التحذير يتحسّن بفضل النفق. يحمي VPN المسار من جهازك إلى خادمه الخاص؛ ويحمي HTTPS الطلب من متصفحك إلى نقطة TLS الخاصة بالموقع. هما يغطيان مرحلتين مختلفتين من الرحلة، وأحدهما لا يعوّض عن الآخر.

نفقان بنهايتين مختلفتين

ينتهي نفق VPN عند خادم VPN. بعد تلك النقطة، يستمر مرورك على الإنترنت العادي نحو الوجهة. ويمكن لمشغّل VPN رؤية بيانات الاتصال الوصفية مع أنه لا يستطيع قراءة الحمولة.

يبدأ HTTPS عند متصفحك وينتهي عند نقطة TLS الخاصة بالموقع. لا يهمه كيف وصلت الحزمة إلى الخادم، ولا يعتمد على وجود VPN.

ولهذا تتكامل الحمايتان بدلاً من أن تتنافسا. يخفي VPN الطلب عن الشبكة المحلية وعن مزوّد الإنترنت حتى مخرجه. ويخفيه HTTPS عن كل مراقب بعد ذلك المخرج، بما في ذلك مزوّد VPN نفسه. ولا واحدة تغطي فراغ الأخرى. ومن يفهم ذلك يتوقف عن السؤال أيهما يكفي.

نموذج HTTP العادي يبقى عادياً بعد المخرج

الموقع الأقدم الذي يقبل نموذجاً عبر HTTP غير محمي بعد خادم VPN. ينقل النفق النموذج إلى المخرج، وينقله بقية المسار في العراء.

استخدم نسخة HTTPS الحقيقية أو قناة رسمية أخرى لأي شيء حساس.

لا يغيّر مؤشر الاتصال وسيلة نقل التطبيق. يمكن لوضع HTTPS فقط في المتصفح أن يساعد في منع رجوع غير مقصود، لكنه لا يصلح موقعاً لم يعرض TLS قط.

تحذير الشهادة لا يعالجه VPN

اسم مضيف خاطئ، أو شهادة منتهية، أو ساعة جهاز منحرفة، أو اعتراض، كلها يمكن أن تسبب فشل التحقق. ولا يجعل VPN أياً منها عديم الضرر.

تحقق من العنوان الدقيق ومن ساعة النظام قبل أي شيء آخر.

إذا كانت هناك صفحة تسجيل دخول شبكة، فاستخدم تدفق بوابة الاحتجاز المعتاد للمنصة. لا تمنح استثناءً دائماً لموقع حساب غير ذي صلة لأن شبكة فندق طلبت منك ذلك.

على جهاز مُدار، اسأل عما إذا كانت شهادة تفتيش مثبّتة. ذلك يغيّر ترتيب الثقة المعتاد ويستحق تفسيراً محدداً بدلاً من تجاهل. اسأل عن غرض الشهادة ومن يملكها.

التشفير لا يوقف التتبع

تحمل الجلسة ملفات تعريف الارتباط وتسجيلات الدخول وبيانات النماذج إلى الموقع تماماً كما هو مقصود. ويمكن للمتتبع أن يستغل اتصالاً مشفّراً أيضاً، ومعظمهم يفعلون ذلك.

يغيّر VPN المسار وعنوان المخرج الظاهري. ولا يغيّر الهوية التي تقدّمها عبر حساب، ولا يمسح ملف تعريف الارتباط الذي يتبعك بين المواقع.

أبقِ على حمايات المتصفح التي تستخدمها بالفعل. فـ VPN إضافة إليها، لا بديل عنها.

افحص العنوان، لا المؤشر

تحقق من اسم المضيف في شريط العنوان ومن الشهادة التي يقدمها الموقع. القفل يعني أن الاتصال مشفّر إلى نقطة ما؛ ولا يعني أن تلك النقطة هي التي قصدتها.

أمران يعرضان الشهادة وسلسلة التحويل:

curl -sSI https://bank.example/ | head -5
openssl s_client -connect bank.example:443 -servername bank.example < /dev/null 2>/dev/null | openssl x509 -noout -subject -dates

إذا ذكرت الشهادة مضيفاً مختلفاً، فتوقف. إذا كانت الساعة خاطئة، فأصلحها قبل إعادة المحاولة. إذا أدالك تحويل إلى HTTP عادي، فاعتبر ذلك فشلاً من الموقع لا سبباً لتعطيل التحقق. تحذير المتصفح موجود لأن البديل هو التخمين أي نقطة استقبلت كلمة مرورك.