VPN і Tor не замяняюць HTTPS: дзе сканчаецца кожны ўзровень

VPN і ланцуг Tor шыфруюць ваш трафік на частцы шляху. Абодва спыняюць шыфраванне на партнёры, якога выбралі самі. HTTPS — гэта ўзровень, які даходзіць да самога сайта, і ніякая колькасць тунэляў перад ім не ператварае звычайную адпраўку формы ў абароненую. Калі прасачыць кожны ўзровень да пункта, дзе ён сканчаецца, гэта становіцца відавочным.

Тры ўзроўні, тры розныя канчатковыя пункты

Звычайны VPN завяршае свой тунэль на VPN-серверы. Усё паміж вашай прыладай і гэтым серверам знаходзіцца ўнутры тунэля, а ўсё пасля яго — не. Ланцуг Tor паводзіць сябе гэтак жа з іншым партнёрам, пакідаючы сетку на выхадным рэлее, які перасылае ваш запыт да месца прызначэння.

TLS завяршаецца на сайце. Сертыфікат, які вы праверылі, звязвае імя хоста з ключом, якім кіруе сайт, а ключы сесіі існуюць паміж вашым браўзарам і гэтым серверам. Гэты канчатковы пункт знаходзіцца за межамі і VPN-сервера, і выхаду Tor.

Такім чынам, тры ўзроўні маюць тры розныя межы даверу, і запыт праходзіць праз усе іх паслядоўна. Узмацненне аднаго нічога не кажа пра іншыя, і апошні — адзіны, у якім удзельнічае месца прызначэння.

Што выкрывае апошні крок

Калі праграма выкарыстоўвае звычайны HTTP, змест пасля выхаду можа чытаць кожны, хто кіруе гэтым крокам. Папярэдні тунэль выканаў сваю працу бездакорна і проста больш не існуе. Даныя для ўваходу, уведзеныя ў HTTP-форму, выкрываюцца менавіта ў тым пункце, дзе скончылася абарона.

Пры правільна правераным HTTPS пасярэднік на шляху не можа прачытаць або незаўважна змяніць змест праграмы. Ён усё роўна бачыць, што вы падключыліся, калі і да якога адрасу, бо загалоўкі пакетаў павінны быць маршрутызуемымі. Канфідэнцыйнасць зместу і метаданыя пра злучэнне — розныя ўласцівасці, і толькі першую дае TLS.

Ідэнтычнасць уліковага запісу — зноў трэцяя рэч. Уваход ва ўліковы запіс пазнае вас гэтай службе незалежна ад таго, які адрас выхаду вы выкарысталі, таму выхад абараняе сеткавы шлях, а не ўліковы запіс. Гэтае адрозненне перажывае любую колькасць узроўняў перад ім. Змена выхадаў ніколі не змяняе таго, што выкрывае сесія з уваходам. Служба ведала, хто вы, яшчэ да таго, як сышоў першы пакет.

Нішто ў гэтай схеме не ламаецца ад дадання другога тунэля. Змяняецца тое, які назіральнік бачыць першы крок, а не тое, ці шыфруецца апошні.

Парадак змяняе назіральнікаў, а не канчатковы пункт

Злучэнне VPN і Tor у ланцуг — законны спосаб змяніць, хто што бачыць на ўзроўні сеткі. Запуск Tor праз VPN хавае ад вашай сеткі доступу сам факт выкарыстання Tor, а запуск VPN праз Tor хавае ваш адрас ад пастаўшчыка VPN. Абодва парадкі апісаны ў публічнай дакументацыі, і абодва маюць кампрамісы ў прадукцыйнасці і паводзінах пры збоях.

Ні адзін з парадкаў не зрушвае канчатковы пункт TLS. У абодвух выпадках браўзар усё роўна правярае сертыфікат для запытанага імя хоста, і ў абодвух выпадках адрас HTTP па-ранейшаму адпраўляе свой змест адкрыта пасля апошняга рэлея. Кампазіцыя змяняе спіс назіральнікаў; яна не змяняе колькасць узроўняў у месцы прызначэння.

Вось чаму парады пра ланцугі звычайна тычацца мадэляў пагроз, а не бяспекі наогул. Даўжэйшы ланцуг не з'яўляецца мацнейшай версіяй таго ж самога, і ён не замяняе пратакол, які выбрала праграма.

curl -sSI https://example.net | head -3
openssl s_client -connect example.net:443 -servername example.net -brief

Абедзве каманды паказваюць узровень, які мае значэнне ў месцы прызначэння. Другая выводзіць узгоднены пратакол, не задзейнічаючы ніякі тунэль. Ні адна не кажа вам нічога пра выхад, які вы выкарысталі.

Трымайце праверку працаздольнай, пакуль шукаеце няспраўнасць

Папярэджанне пра сертыфікат — гэта інфармацыя пра злучэнне, якое вы збіраецеся зрабіць. Яно можа азначаць несупадзенне імя хоста, праблему з гадзіннікам, недавераны ланцуг або спробу перахопу. Даданне пастаяннага выключэння таму, што падключаны VPN, выдаляе адзіны сігнал, які мог бы адрозніць гэтыя выпадкі.

Функцыі бяспечнага злучэння ў Tor Browser і яго папярэджанні існуюць з той жа прычыны, і іх адключэнне дзеля загрузкі старонкі абменьвае бачны збой на нябачны. Калі да сайта нельга дабрацца без выключэння, сумленны вывад — што злучэнне не падлягае праверцы, а не што тунэль зрабіў яго бяспечным.

Шыфраванне таксама нічога не кажа пра намеры. Сапраўднае HTTPS-злучэнне з падманным сайтам дастаўляе вашыя даныя гэтаму сайту з бездакорнай канфідэнцыйнасцю. Правярайце адрас і тое, што вы адпраўляеце, а не толькі наяўнасць замка.

Службы Onion — сапраўды іншая мадэль. Да іх дабіраюцца праз сетку Tor без звычайнага публічнага выхаду, і гэта не тое ж самае, што доступ да публічнага сайта праз Tor. Разглядайце гэта як асобны выпадак з уласнымі чаканнямі, а не як мацнейшую версію таго ж візіту.

Правіла, якое вытрымлівае любую канфігурацыю, кароткае. Трымайце праверку браўзара цэлай. Ацэньвайце кожны ўзровень па тым, дзе ён фактычна сканчаецца.