VPN и Tor не заменят HTTPS: къде свършва всеки слой

VPN и верига Tor шифрират трафика ви за част от пътя. И двете спират да го шифрират при партньор по свой избор. HTTPS е слоят, който стига до самия сайт, и никакво количество тунелиране пред него не превръща обикновеното подаване на форма в защитено. Проследяването на всеки слой до точката, в която свършва, прави това очевидно.

Три слоя, три различни крайни точки

Обикновен VPN завършва тунела си при VPN сървъра. Всичко между устройството ви и този сървър е вътре в тунела, а всичко след него — не. Веригата Tor се държи по същия начин с друг партньор, като напуска мрежата при изходен релей, който препраща заявката ви към дестинацията.

TLS завършва при сайта. Сертификатът, който сте проверили, свързва име на хост с ключ, контролиран от сайта, а сесийните ключове съществуват между браузъра ви и този сървър. Тази крайна точка е отвъд както VPN сървъра, така и изхода на Tor.

Значи трите слоя имат три различни граници на доверие и една заявка преминава през всички тях последователно. Укрепването на един не казва нищо за другите, а последният е единственият, в който участва дестинацията.

Какво разкрива последният хоп

Ако приложението използва обикновен HTTP, съдържанието след изхода е четимо за всеки, който управлява този хоп. Предишният тунел е свършил работата си безупречно и просто вече го няма. Данните за вход, въведени в HTTP форма, се разкриват точно в точката, в която защитата е свършила.

При правилно проверен HTTPS посредник по пътя не може да чете или тихо да променя съдържанието на приложението. Той все още вижда, че сте се свързали, кога и към кой адрес, защото заглавките на пакетите трябва да са маршрутизируеми. Поверителността на съдържанието и метаданните за връзката са различни свойства и само първото е това, което дава TLS.

Идентичността на акаунта е отново трето нещо. Влизането в акаунт ви идентифицира пред тази услуга независимо кой изходен адрес сте използвали, затова изходът защитава мрежовия път, а не акаунта. Това разграничение оцелява при произволен брой слоеве пред него. Смяната на изходи никога не променя какво разкрива сесия с влязъл потребител. Услугата е знала кой сте още преди първият пакет да тръгне.

Нищо в тази подредба не се чупи от добавянето на втори тунел. Променя се кой наблюдател вижда първия хоп, а не дали последният е шифриран.

Редът променя наблюдателите, не крайната точка

Свързването на VPN и Tor във верига е законен начин да промените кой какво вижда на мрежово ниво. Пускането на Tor през VPN скрива от мрежата ви за достъп факта, че използвате Tor, докато пускането на VPN през Tor скрива адреса ви от доставчика на VPN. И двете подредби са описани в публична документация и двете имат компромиси в производителността и поведението при отказ.

Нито една от подредбите не мести крайната точка на TLS. И в двата случая браузърът все още проверява сертификат за поисканото име на хост, и в двата случая HTTP адресът все още изпраща съдържанието си в открит вид след последния релей. Композицията променя списъка на наблюдателите; тя не променя броя на слоевете при дестинацията.

Затова съветите за вериги обикновено са за модели на заплахи, а не за безопасност като цяло. По-дългата верига не е по-силна версия на същото нещо и не е заместител на протокола, който приложението е избрало.

curl -sSI https://example.net | head -3
openssl s_client -connect example.net:443 -servername example.net -brief

И двете команди показват слоя, който има значение при дестинацията. Втората отпечатва договорения протокол, без да включва никакъв тунел. Нито една не ви казва нещо за изхода, който сте използвали.

Пазете проверката работеща, докато отстранявате проблеми

Предупреждението за сертификат е информация за връзката, която предстои да направите. То може да означава несъответствие в името на хоста, проблем с часовника, недоверена верига или опит за прихващане. Добавянето на постоянно изключение, защото е свързан VPN, премахва единствения сигнал, който би различил тези случаи.

Функциите за сигурна връзка на Tor Browser и предупрежденията му съществуват по същата причина и изключването им, за да се зареди страница, разменя видим отказ срещу невидим. Ако до сайт не може да се стигне без изключение, честният извод е, че връзката не може да бъде проверена, а не че тунелът я е направил безопасна.

Шифрирането също не казва нищо за намерението. Валидна HTTPS връзка с измамен сайт доставя данните ви на този сайт с пълна поверителност. Проверявайте адреса и какво подавате, а не само дали има катинар.

Onion услугите са наистина различен модел. До тях се стига през мрежата Tor без обикновен публичен изход, което не е същото като достъп до публичен сайт през Tor. Третирайте това като отделен случай със собствени очаквания, а не като по-силна версия на същото посещение.

Правилото, което оцелява при всяка конфигурация, е кратко. Пазете проверката на браузъра непокътната. Съдете всеки слой по това къде действително свършва.