Tunel nəyi şifrələyir və nəyi oxunaqlı qoyur

Tuneliniz işləyir, bir vərəqdə yaşıl qıfıl görünür, digər vərəqdəki adi HTTP səhifəsi isə hələ də bağlantının təhlükəsiz olmadığını xəbərdar edir. Bu birləşmə adamları çaşdırır, çünki iki müdafiə fərqli məsafələri əhatə edir. VPN öz ucları arasındakı trafiki qoruyur, çıxışdan sonra trafik yenidən adiləşir. HTTPS isə bir bağlantını veb sayta qədər qoruyur. Bu iki faktı yanaşdırmaq VPN-in həqiqətən nəyi gizlətdiyinə dair sualların çoxunu izah edir.

Tunel əslində nəyi əhatə edir

Müştəri ilə VPN həmsərhədi arasında müşahidəçi oxunaqlı sorğu deyil, şifrələnmiş baytlar görür. Bu, tunelin keçdiyi seqmenti əhatə edir və bu, adətən sizin nəzarət etmədiyiniz hissədir. O, VPN çıxışı ilə veb sayt arasındakı zəncirə uzanmır, çünki tunel çıxışda bitib. Tunel sona çatdığı andan baytlar yenidən oxunaqlıdır. Bunda səhv konfiqurasiya yoxdur.

Çıxış şifrəni açan və yönləndirən maşındır, bu da VPN-in məqsədidir. Yönləndirdiyi hər şey ona aldığı formada görünür, yəni adi HTTP sorğusu çıxışdan etibarən açıq mətn olaraq qalır.

Bunu qüsur kimi deyil, xüsusiyyət kimi oxuyun. Şifrələmə bir yola bağlıdır və yol xidmətin başladığı yerdə bitir.

Açarlar, nonce-lar və bütövlük sadə dillə

Cari trafik simmetrik kriptoqrafiya ilə qorunur və hər iki uc əl sıxma zamanı açar materialını çıxarır və ya alır. RFC 5116-da ümumi şərtlərlə təsvir edilən autentifikasiyalı şifrələmə məxfilik və bütövlüyü bir konstruksiyada verir. Qəbuledici dəyişdirilmiş baytları sadəcə oxuya bilməmək əvəzinə rədd edir və insanlar şifrələməni qarışdırmaq kimi düşünəndə məhz bunu unudurlar.

Açarlar həmin mübadilədən gəlir, girişdə yazılan paroldan deyil. Parol bir kimliyi autentifikasiya edir, sonra protokol sessiya materialı qurur. Efemer açar mübadiləsi irəliyə doğru məxfilik verir, buna görə yazılmış sessiya uzunmüddətli açar sonradan sırsa belə oxunaqsız qalır.

Spesifikasiyadakı böyük bir rəqəm bu sualların heç birinə cavab vermir və əlaqəsiz alqoritmlər arasında rəqəmləri müqayisə etmək reytinq deyil. Əvəzində açar mübadiləsinin nə təqdim etdiyini soruşun.

Tunel harada bitir

Tuneli sona çatdıran uc yönləndirdiyini oxuya bilir. Bu, korporativ şlüz, kommersiya provayderi və özünün yerləşdirdiyi server üçün eyni dərəcədə doğrudur. Bu dizayndır, onun qüsuru deyil. Güclü kriptoqrafiya kompromis edilmiş ucun ona gələn açıq mətni oxumasının qarşısını ala bilməz, çünki müdafiənin dayandığı yer elə ucdur.

HTTPS həmin nöqtədən sonra davam edir, buna görə düşmən şəbəkədə VPN olmadan da sayt təhlükəsiz ola bilər. İki müdafiə birinci seqmentdə üst-üstə düşür və çıxışdan sonra yalnız biri davam edir.

Buna görə də bağlantını işlətmək üçün sertifikat yoxlamasını zəiflətmək tunelin testi deyil. O, başqa bir müdafiəni söndürür və sizi başladığınızdan daha azı ilə qoyur.

Niyə anonimlik başqa bir məhsuldur

Ünvanlar, vaxt və həcm tuneldən kənarda müşahidə oluna bilir. Müşahidəçi trafikin VPN ucuna axdığını, təxminən nə qədər olduğunu və nə vaxt baş verdiyini görə bilir. Məzmun oxunaqsız ola bilər, halbuki naxış hələ də məlumat verir.

Provayder də sizin şəbəkənizdən başqa yerdə oturur, bu müşahidənin aradan qaldırılması deyil, müşahidəçinin dəyişməsidir. Kukilər, girişlər və hesab identifikatorları əvvəlki kimi işləyir, çünki tunel onları dəyişməyi heç vaxt vəd etməyib.

Tələb budursa, provayderi onun jurnal siyasətinə və yurisdiksiyasına görə seçin, sonra siyasətin özünü oxuyun. Marketinq səhifələri bu suala hər kəsin yoxlaya biləcəyi şəkildə nadir hallarda cavab verir.

Tuneli və saytı ayrı-ayrılıqda yoxlayın

Əvvəlcə tuneli yoxlayın ki, hansı müdafiəni sınaqdan keçirdiyinizi biləsiniz. Sonra saytın öz daşımasını yoxlayın və birinin digərini şərtləndirdiyini güman etmək əvəzinə iki nəticəni müqayisə edin. Adi HTTP daşıyan tunel və HTTPS təqdim edən sayt hər ikisi konfiqurasiya edildiyi kimi işləyir.

Yoxlamaları sınamağa icazə verilən host üzərində aparın və xülasəni deyil, çıxışı oxuyun.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

Tunel işləyəndə və sayt HTTPS olanda birinci seqmentdə iki müdafiəniz, ikincidə bir müdafiəniz var. Sayt adi HTTP olanda ikinci seqment orada olan hər kəs üçün, sorğunu yönləndirən çıxış da daxil olmaqla oxunaqlıdır. İkisindən hansının çatışmadığını bilmək bütün diaqnozdur və bu, yeni müştəri deyil, iki əmr tələb edir.