VPN i Tor ne zamjenjuju HTTPS: gdje završava svaki sloj

VPN i Tor krug oboje šifruju vaš saobraćaj na dijelu puta. Oboje prestaju da ga šifruju kod druge strane koju sami odaberu. HTTPS je sloj koji stiže do samog sajta, i nikakva količina tuneliranja ispred njega ne pretvara obično slanje forme u zaštićeno. Praćenje svakog sloja do tačke gdje završava to čini očiglednim.

Tri sloja, tri različite krajnje tačke

Konvencionalni VPN završava svoj tunel na VPN serveru. Sve između vašeg uređaja i tog servera je unutar tunela, a sve poslije njega nije. Tor krug se ponaša isto s drugom stranom, napuštajući mrežu na izlaznom releju koji prosljeđuje vaš zahtjev odredištu.

TLS završava na sajtu. Certifikat koji ste provjerili veže ime hosta za ključ koji sajt kontroliše, a sesijski ključevi postoje između vašeg preglednika i tog servera. Ta krajnja tačka je iza i VPN servera i Tor izlaza.

Dakle tri sloja imaju tri različite granice povjerenja, a zahtjev prolazi kroz sve njih redom. Jačanje jednog ne govori ništa o ostalima, a posljednji je jedini u kojem odredište učestvuje.

Šta otkriva posljednji skok

Ako aplikacija koristi običan HTTP, sadržaj iza izlaza može čitati svako ko upravlja tim skokom. Raniji tunel je savršeno odradio svoj posao i jednostavno ga više nema. Podaci za prijavu otkucani u HTTP formu izloženi su tačno u tački gdje je zaštita završila.

Uz ispravno provjeren HTTPS, posrednik na putu ne može čitati niti tiho mijenjati sadržaj aplikacije. On i dalje vidi da ste se povezali, kada i na koju adresu, jer zaglavlja paketa moraju biti rutabilna. Povjerljivost sadržaja i metapodaci o vezi su različita svojstva, a samo prvo pruža TLS.

Identitet računa je opet treća stvar. Prijava na račun vas identifikuje toj usluzi bez obzira na to koju ste izlaznu adresu koristili, pa izlaz štiti mrežni put, a ne račun. Ta razlika nadživljava bilo koliko slojeva ispred nje. Mijenjanje izlaza nikad ne mijenja ono što otkriva prijavljena sesija. Usluga je znala ko ste prije nego što je prvi paket otišao.

Ništa u ovom rasporedu se ne kvari dodavanjem drugog tunela. Mijenja se to koji posmatrač vidi prvi skok, a ne da li je posljednji skok šifrovan.

Redoslijed mijenja posmatrače, ne krajnju tačku

Lančano povezivanje VPN-a i Tor-a legitiman je način da promijenite ko šta vidi na mrežnom nivou. Pokretanje Tor-a preko VPN-a skriva od vaše pristupne mreže činjenicu da koristite Tor, dok pokretanje VPN-a preko Tor-a skriva vašu adresu od VPN provajdera. Oba redoslijeda su opisana u javnoj dokumentaciji i oba imaju kompromise u performansama i ponašanju pri kvaru.

Nijedan redoslijed ne pomjera TLS krajnju tačku. U oba slučaja preglednik i dalje provjerava certifikat za ime hosta koje je zatražio, i u oba slučaja HTTP adresa i dalje šalje svoj sadržaj otvoreno iza posljednjeg releja. Sastav mijenja listu posmatrača; ne mijenja broj slojeva na odredištu.

Zato se savjeti o lančanju obično tiču modela prijetnji, a ne sigurnosti općenito. Duži lanac nije jača verzija iste stvari, i nije zamjena za protokol koji je aplikacija odabrala.

curl -sSI https://example.net | head -3
openssl s_client -connect example.net:443 -servername example.net -brief

Obje komande pokazuju sloj koji je važan na odredištu. Druga ispisuje dogovoreni protokol bez uključivanja ikakvog tunela. Nijedna vam ne govori ništa o izlazu koji ste koristili.

Održite provjeru funkcionalnom dok rješavate probleme

Upozorenje o certifikatu je informacija o vezi koju ćete uspostaviti. Može značiti nesklad imena hosta, problem sa satom, nepouzdan lanac ili pokušaj presretanja. Dodavanje trajne iznimke zato što je VPN povezan uklanja jedini signal koji bi te slučajeve razlikovao.

Sigurnosne funkcije veze u Tor Browseru i njegova upozorenja postoje iz istog razloga, a njihovo isključivanje da bi se stranica učitala mijenja vidljiv neuspjeh za nevidljiv. Ako se do sajta ne može bez iznimke, pošten zaključak je da veza nije provjerljiva, a ne da ju je tunel učinio sigurnom.

Šifrovanje takođe ne govori ništa o namjeri. Valjana HTTPS veza sa obmanjujućim sajtom dostavlja vaše podatke tom sajtu uz savršenu povjerljivost. Provjerite adresu i šta šaljete, ne samo postoji li katanac.

Onion usluge su zaista drugačiji model. Do njih se stiže kroz Tor mrežu bez običnog javnog izlaza, što nije isto kao pristupanje javnom sajtu preko Tor-a. Tretirajte to kao odvojen slučaj s vlastitim očekivanjima, a ne kao jaču verziju iste posjete.

Pravilo koje preživljava svaku konfiguraciju je kratko. Sačuvajte provjeru preglednika netaknutom. Procijenite svaki sloj po tome gdje zaista završava.