ما الذي يشفّره النفق وما يبقى مقروءاً

النفق لديك يعمل، وتبويب واحد يعرض قفلاً أخضر، بينما صفحة HTTP عادية في تبويب آخر ما زالت تحذّر من أن الاتصال غير آمن. هذا المزيج يربك الناس لأن الحمايتين تغطيان مسافتين مختلفتين. الـVPN يحمي حركة المرور بين طرفيه، وبعد المخرج تصبح الحركة عادية من جديد. أما HTTPS فيحمي اتصالاً واحداً حتى موقع الويب. وترتيب هاتين الحقيقتين معاً يفسّر معظم الأسئلة عن ما يخفيه الـVPN فعلاً.

ما الذي يغطيه النفق فعلاً

بين العميل ونظير الـVPN يرى المراقب بايتات مشفّرة لا طلباً مقروءاً. وهذا يغطي المقطع الذي يعبره النفق، وهو عادة الجزء الذي لا تتحكم فيه. ولا يمتد إلى الوصلة بين مخرج الـVPN وموقع الويب، لأن النفق انتهى عند المخرج. تصبح البايتات مقروءة مرة أخرى من لحظة إنهاء النفق. ولا شيء في ذلك خطأ في الإعداد.

المخرج جهاز يفكّ التشفير ويمرّر، وهذا هو بالضبط الغرض من الـVPN. وكل ما يمرّره يكون مرئياً له بالشكل الذي وصل به، لذا يبقى طلب HTTP العادي نصاً صريحاً من المخرج فصاعداً.

اقرأ ذلك كخاصية لا كعيب. التشفير محصور في مسار، والمسار ينتهي حيث تبدأ الخدمة.

المفاتيح والـnonces والسلامة بعبارات بسيطة

تُحمى الحركة الجارية بتشفير متماثل، ويشتق الطرفان مادة المفاتيح أو يحصلان عليها أثناء المصافحة. والتشفير الموثّق، الموصوف بعبارات عامة في RFC 5116، يمنح السرية والسلامة في تركيب واحد. والطرف المستقبل يرفض البايتات المعدّلة بدل أن يكتفي بالعجز عن قراءتها، وهذا هو الجزء الذي ينساه الناس حين يظنون أن التشفير يعني إرباك المحتوى.

المفاتيح تأتي من ذلك التبادل لا من كلمة المرور المكتوبة عند الدخول. كلمة المرور توثّق هوية، ثم ينشئ البروتوكول مادة جلسة. وتبادل المفاتيح العابر هو ما يمنح السرية الأمامية، فتبقى الجلسة المسجّلة غير مقروءة حتى لو سرّب مفتاح طويل الأمد لاحقاً.

رقم كبير في مواصفة لا يجيب عن أي من تلك الأسئلة، ومقارنة أرقام بين خوارزميات غير مترابطة ليست تصنيفاً. اسأل بدلاً من ذلك عمّا يقدمه تبادل المفاتيح.

أين ينتهي النفق

الطرف الذي ينهي النفق يستطيع قراءة ما يمرّره. وهذا صحيح في البوابة المؤسسية والمزوّد التجاري والخادم المستضاف ذاتياً على حد سواء. إنه التصميم لا عيب فيه. فالتشفير القوي لا يمنع طرفاً مخترقاً من قراءة النص الصريح الذي يصل إليه، لأن الطرف هو حيث تتوقف الحماية.

HTTPS يستمر بعد تلك النقطة، ولهذا يمكن أن يكون الموقع آمناً على شبكة معادية حتى من دون VPN. الحمايتان تتداخلان في المقطع الأول وواحدة فقط منهما تستمر بعد المخرج.

ولهذا أيضاً فإن إضعاف التحقق من الشهادة لجعل الاتصال يعمل ليس اختباراً للنفق. إنه يعطّل حماية أخرى ويتركك بأقل مما بدأت به.

لماذا الخصوصية منتج مختلف

تبقى العناوين والتوقيت والحجم قابلة للملاحظة خارج النفق. يمكن للمراقب أن يرى أن حركة تمرّ إلى طرف VPN، وكميتها تقريباً، ومتى. قد يكون المحتوى غير مقروء بينما يبقى النمط معبّراً.

كما أن المزوّد يقف في مكان مختلف عن شبكتك، وهذا تغيير للمراقب لا إزالة للمراقبة. الكوكيز وتسجيلات الدخول ومعرّفات الحساب تعمل كما كانت تماماً، لأن النفق لم يَعِد أبداً بتغييرها.

اختر المزوّد حسب سياسة التسجيل والاختصاص القضائي إن كان ذلك هو المطلوب، ثم اقرأ السياسة نفسها. نادراً ما تجيب صفحات التسويق عن ذلك السؤال بطريقة يمكن لأحد تدقيقها.

افحص النفق والموقع كل على حدة

تحقق من النفق أولاً حتى تعرف أي حماية تختبر. ثم تحقق من نقل الموقع نفسه، وقارن النتيجتين بدل افتراض أن إحداهما تعني الأخرى. النفق الذي يحمل HTTP عادياً والموقع الذي يقدّم HTTPS كلاهما يفعل بالضبط ما ضُبط ليفعله.

نفّذ الفحوص على مضيف مسموح لك باختباره، واقرأ المخرجات لا الملخص.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

حين يكون النفق عاملاً والموقع HTTPS، لديك حمايتان على المقطع الأول وواحدة على الثاني. وحين يكون الموقع HTTP عادياً، يكون المقطع الثاني مقروءاً لكل من عليه، بما في ذلك المخرج الذي مرّر الطلب. معرفة أي الحمايتين ناقصة هي التشخيص كله، وهي تحتاج أمرين لا عميلاً جديداً.