Чаму HTTPS усё яшчэ важны пасля завяршэння VPN-тунэля

Зялёны індыкатар VPN, адчуванне прыватнасці, а потым браўзер паказвае папярэджанне пра сертыфікат на сайце банка. Нішто ў гэтым папярэджанні не паляпшаецца з-за тунэля. VPN абараняе шлях ад вашай прылады да свайго сервера; HTTPS абараняе запыт ад вашага браўзера да TLS-пункта сайта. Яны пакрываюць розныя ўчасткі шляху, і адно не замяняе другое.

Два тунэлі з двума рознымі канцамі

VPN-тунэль заканчваецца на VPN-серверы. Пасля гэтага пункта ваш трафік працягваецца па звычайным інтэрнэце да месца прызначэння. Аператар VPN бачыць метаданыя злучэння, нават калі не можа прачытаць карысныя даныя.

HTTPS пачынаецца ў вашым браўзеры і заканчваецца на TLS-пункце сайта. Яму не важна, як пакет дасягнуў сервера, і ён не залежыць ад наяўнасці VPN.

Менавіта таму дзве абароны складаюцца, а не спаборнічаюць. VPN хавае запыт ад лакальнай сеткі і ад вашага інтэрнэт-правайдэра да свайго выхаду. HTTPS хавае яго ад кожнага назіральніка пасля гэтага выхаду, уключаючы самога правайдэра VPN. Ні адна не закрывае прагаліну другой. Чалавек, які гэта разумее, перастае пытацца, якога дастаткова.

Звычайная форма HTTP застаецца звычайнай пасля выхаду

Стары сайт, які прымае форму праз HTTP, не абаронены за VPN-серверам. Тунэль нясе форму да выхаду, а астатні маршрут нясе яе адкрыта.

Выкарыстоўвайце сапраўдную версію HTTPS або іншы афіцыйны канал для ўсяго адчувальнага.

Індыкатар злучэння не змяняе транспарт праграмы. Рэжым браўзера «толькі HTTPS» можа дапамагчы пазбегнуць выпадковага адкату, але ён не выправіць сайт, які ніколі не прапаноўваў TLS.

Папярэджанне пра сертыфікат не лечыцца VPN

Няправільнае імя хоста, скончаны сертыфікат, скошаны гадзіннік прылады або перахоп — усё гэта можа выклікаць збой праверкі. VPN не робіць нічога з гэтага бясшкодным.

Праверце дакладны адрас і сістэмны гадзіннік раней за ўсё.

Калі ўдзельнічае старонка ўваходу ў сетку, выкарыстоўвайце звычайны працэс captive portal платформы. Не давайце пастаяннага выключэння непавязанаму сайту акаўнта толькі таму, што вас пра гэта папрасіла гатэльная сетка.

На кіраванай прыладзе спытайце, ці ўсталяваны сертыфікат інспекцыі. Гэта змяняе звычайную дамоўленасць даверу і патрабуе канкрэтнага тлумачэння, а не паціску плячыма. Спытайце пра прызначэнне сертыфіката і каму ён належыць.

Шыфраванне не спыняе сачэнне

Сесія перадае кукі, уваходы і даныя форм на сайт менавіта так, як задумана. Трэкер таксама можа ехаць на шыфраваным злучэнні, і большасць робіць менавіта гэта.

VPN змяняе маршрут і знешні адрас выхаду. Ён не змяняе асобу, якую вы падаяце праз акаўнт, і не выдаляе куку, што ідзе за вамі паміж сайтамі.

Захоўвайце абароны браўзера, якія вы ўжо выкарыстоўваеце. VPN — гэта дадатак да іх, а не замена.

Праверце адрас, а не індыкатар

Праверце імя хоста ў адрасным радку і сертыфікат, які паказвае сайт. Замак азначае, што злучэнне шыфравана да нейкага пункта; гэта не азначае, што пункт — менавіта той, які вы мелі на ўвазе.

Дзве каманды паказваюць сертыфікат і ланцужок перакіданняў:

curl -sSI https://bank.example/ | head -5
openssl s_client -connect bank.example:443 -servername bank.example < /dev/null 2>/dev/null | openssl x509 -noout -subject -dates

Калі сертыфікат называе іншы хост, спыніцеся. Калі гадзіннік няправільны, выпраўце яго перад паўторнай спробай. Калі перакіданне вядзе вас на звычайны HTTP, лічыце гэта збоем сайта, а не прычынай адключыць праверку. Папярэджанне браўзера існуе таму, што альтэрнатыва — здагадвацца, які пункт атрымаў ваш пароль.