VPN وTor لا يعوّضان HTTPS: أين تنتهي كل طبقة
ينتهي النفق عند نظيره وينتهي مسار Tor عند مرحّل خروج. HTTPS هي الطبقة الوحيدة التي تصل إلى الموقع، لذا يبقى النموذج غير المحمي مقروءًا.
يشفّر نفق VPN ومسار Tor كلاهما حركة مرورك لجزء من رحلتها. وكلاهما يتوقف عن تشفيرها عند نظير يختاره بنفسه. أما HTTPS فهي الطبقة التي تصل إلى الموقع نفسه، ولا يحوّل أي قدر من الأنفاق أمامها إرسال نموذج عادي إلى إرسال محمي. وتتبّع كل طبقة إلى النقطة التي تنتهي عندها يجعل ذلك واضحًا.
ثلاث طبقات، ثلاث نقاط نهاية مختلفة
ينهي نفق VPN التقليدي عند خادم VPN. كل ما بين جهازك وذلك الخادم يقع داخل النفق، وكل ما بعد ذلك ليس كذلك. ويعمل مسار Tor بالطريقة نفسها مع نظير مختلف، فيغادر الشبكة عند مرحّل خروج يعيد توجيه طلبك إلى الوجهة.
تنتهي TLS عند الموقع. الشهادة التي تحققت منها تربط اسم مضيف بمفتاح يتحكم فيه الموقع، ومفاتيح الجلسة توجد بين متصفحك وذلك الخادم. وتلك النقطة النهائية تقع بعد خادم VPN ومخرج Tor كليهما.
إذن للطبقات الثلاث حدود ثقة مختلفة، والطلب يمر بجميعها بالتتابع. وتقوية إحداها لا تقول شيئًا عن الأخريات، والطبقة الأخيرة هي الوحيدة التي تشارك فيها الوجهة.
ما تكشفه القفزة الأخيرة
إذا كان التطبيق يستخدم HTTP عاديًا، فإن المحتوى بعد المخرج يبقى مقروءًا لمن يشغّل تلك القفزة. النفق السابق أدى عمله على أكمل وجه وهو ببساطة لم يعد موجودًا. وبيانات الاعتماد المكتوبة في نموذج HTTP تكون مكشوفة عند النقطة التي انتهت عندها الحماية بالضبط.
| Layer | Terminates at | Who can read the request there |
|---|---|---|
| VPN tunnel | The VPN server you selected | The operator of that server, and anyone who can compel them |
| Tor circuit | An exit relay chosen by the network | The exit relay operator, for traffic that is not otherwise protected |
| HTTPS | The website's own TLS endpoint | The site itself, and no intermediary on the path |
مع HTTPS محقَّقة بشكل صحيح، لا يستطيع وسيط على المسار قراءة محتوى التطبيق أو تعديله بصمت. لكنه لا يزال يرى أنك اتصلت، ومتى، وإلى أي عنوان، لأن ترويسات الحزم يجب أن تكون قابلة للتوجيه. سرية المحتوى والبيانات الوصفية عن الاتصال خاصيتان مختلفتان، والأولى فقط هي ما توفره TLS.
هوية الحساب أمر ثالث مرة أخرى. تسجيل الدخول إلى حساب يعرّفك بتلك الخدمة بصرف النظر عن عنوان الخروج الذي استخدمته، لذا يحمي المخرج مسار الشبكة لا الحساب. وهذا التمييز يصمد أمام أي عدد من الطبقات أمامه. وتغيير المخارج لا يغيّر أبدًا ما تكشفه جلسة مسجَّلة الدخول. لقد عرفت الخدمة من أنت قبل مغادرة أول حزمة.
لا شيء في هذا الترتيب ينكسر بإضافة نفق ثانٍ. ما يتغير هو أي مراقب يرى القفزة الأولى، لا ما إذا كانت القفزة الأخيرة مشفرة.
الترتيب يغيّر المراقبين، لا نقطة النهاية
تسلسل VPN وTor طريقة مشروعة لتغيير من يرى ماذا على مستوى الشبكة. فتشغيل Tor فوق VPN يخفي عن شبكة وصولك حقيقة أنك تستخدم Tor، بينما تشغيل VPN فوق Tor يخفي عنوانك عن مزوّد VPN. والترتيبان موصوفان في وثائق عامة، ولكل منهما مقايضات في الأداء وسلوك الفشل.
لا يحرّك أي من الترتيبين نقطة نهاية TLS. في الحالتين يظل المتصفح يتحقق من شهادة باسم المضيف الذي طلبه، وفي الحالتين ما زال رابط HTTP يرسل محتواه مكشوفًا بعد آخر مرحّل. التركيب يغيّر قائمة المراقبين، ولا يغيّر عدد الطبقات عند الوجهة.
لهذا تميل النصيحة بشأن التسلسل إلى أن تكون عن نماذج التهديد لا عن الأمان عمومًا. السلسلة الأطول ليست نسخة أقوى من الشيء نفسه، وليست بديلًا عن البروتوكول الذي اختاره التطبيق.
curl -sSI https://example.net | head -3
openssl s_client -connect example.net:443 -servername example.net -briefيعرض الأمران الطبقة المهمة عند الوجهة. والثاني يطبع البروتوكول المتفاوض عليه دون إشراك أي نفق. ولا يخبرك أي منهما بشيء عن المخرج الذي استخدمته.
أبقِ التحقق عاملًا أثناء استكشاف الأخطاء
تحذير الشهادة معلومة عن الاتصال الذي أنت على وشك إنشائه. وقد يعني عدم تطابق اسم المضيف، أو مشكلة في الساعة، أو سلسلة غير موثوقة، أو محاولة اعتراض. وإضافة استثناء دائم لأن VPN متصل تزيل الإشارة الوحيدة التي كانت ستميّز تلك الحالات.
ميزات الاتصال الآمن في متصفح Tor وتحذيراته موجودة للسبب نفسه، وتعطيلها لتحميل صفحة يقايض فشلًا ظاهرًا بفشل خفي. وإذا تعذّر الوصول إلى موقع دون استثناء، فالاستنتاج الصادق أن الاتصال غير قابل للتحقق، لا أن النفق جعله آمنًا.
التشفير أيضًا لا يقول شيئًا عن النية. اتصال HTTPS صالح بموقع مخادع يوصّل بياناتك إلى ذلك الموقع بسرية تامة. افحص العنوان وما ترسله، لا مجرد وجود القفل.
خدمات Onion نموذج مختلف حقًا. يُوصل إليها عبر شبكة Tor دون مخرج عام عادي، وهذا ليس مثل الوصول إلى موقع عام عبر Tor. تعامل معها كحالة منفصلة بتوقعاتها الخاصة لا كنسخة أقوى من الزيارة نفسها.
القاعدة التي تصمد في كل إعداد قصيرة. أبقِ تحقق المتصفح سليمًا. واحكم على كل طبقة من حيث تنتهي فعليًا.