VPN i Tor no substitueixen HTTPS: on acaba cada capa

Una VPN i un circuit Tor xifren el vostre trànsit durant una part del viatge. Tots dos deixen de xifrar-lo en un parell que trien ells mateixos. HTTPS és la capa que arriba al lloc web, i cap quantitat de tunelització al davant no converteix un enviament de formulari sense xifrar en un de protegit. Seguir cada capa fins al punt on acaba ho fa evident.

Tres capes, tres finals diferents

Una VPN convencional acaba el seu túnel al servidor VPN. Tot el que hi ha entre el vostre dispositiu i aquest servidor és dins del túnel, i tot el que ve després no ho és. Un circuit Tor es comporta igual amb un parell diferent, i deixa la xarxa en un relé de sortida que reenvia la petició a la destinació.

TLS acaba al lloc web. El certificat que heu validat lliga un nom d’amfitrió amb una clau que controla el lloc, i les claus de sessió existeixen entre el navegador i aquell servidor. Aquest punt final queda més enllà tant del servidor VPN com de la sortida de Tor.

Així, les tres capes tenen tres límits de confiança diferents, i una petició passa per totes tres en seqüència. Reforçar-ne una no diu res de les altres, i l’última és l’única en què participa la destinació.

Què exposa l’últim salt

Si l’aplicació fa servir HTTP sense xifrar, el contingut més enllà de la sortida és llegible per qui operi aquell salt. El túnel anterior va fer la seva feina perfectament i simplement ja no hi és. Les credencials escrites en un formulari HTTP queden exposades exactament al punt on la protecció s’ha acabat.

Amb un HTTPS validat correctament, un intermediari al camí no pot llegir ni modificar silenciosament el contingut de l’aplicació. Encara veu que us heu connectat, quan i a quina adreça, perquè les capçaleres dels paquets han de ser encaminables. La confidencialitat del contingut i les metadades sobre la connexió són propietats diferents, i només la primera és el que ofereix TLS.

La identitat del compte és encara una tercera cosa. Iniciar sessió en un compte us identifica davant d’aquell servei independentment de quina adreça de sortida hàgiu fet servir, així que la sortida protegeix el camí de xarxa i no el compte. Aquesta distinció sobreviu a qualsevol nombre de capes al davant. Canviar de sortida no canvia mai el que revela una sessió iniciada. El servei ja sabia qui éreu abans que sortís el primer paquet.

Res d’aquest arranjament no es trenca afegint un segon túnel. El que canvia és quin observador veu el primer salt, no si l’últim salt està xifrat.

L’ordre canvia els observadors, no el punt final

Encadenar una VPN i Tor és una manera legítima de canviar qui veu què a nivell de xarxa. Executar Tor sobre una VPN amaga a la xarxa d’accés el fet que feu servir Tor, mentre que executar una VPN sobre Tor amaga la vostra adreça al proveïdor de VPN. Tots dos ordres estan descrits en documentació pública i tots dos tenen compromisos de rendiment i de comportament davant d’errors.

Cap dels dos ordres mou el punt final de TLS. En tots dos casos el navegador encara valida un certificat per al nom d’amfitrió sol·licitat, i en tots dos casos una URL HTTP encara envia el contingut sense xifrar més enllà de l’últim relé. La composició canvia la llista d’observadors; no canvia el nombre de capes a la destinació.

Per això els consells sobre encadenament solen tractar de models d’amenaces i no de seguretat en general. Una cadena més llarga no és una versió més forta del mateix, i no substitueix el protocol que l’aplicació ha triat.

curl -sSI https://example.net | head -3
openssl s_client -connect example.net:443 -servername example.net -brief

Les dues ordres mostren la capa que importa a la destinació. La segona imprimeix el protocol negociat sense implicar cap túnel. Cap de les dues no us diu res sobre la sortida que heu fet servir.

Mantingueu la validació activa mentre diagnostiqueu

Un avís de certificat és informació sobre la connexió que esteu a punt de fer. Pot significar un nom d’amfitrió que no coincideix, un problema de rellotge, una cadena no confiable o un intent d’intercepció. Afegir una excepció permanent perquè hi ha una VPN connectada elimina l’únic senyal que hauria distingit aquests casos.

Les funcions de connexió segura del navegador Tor i els seus avisos existeixen pel mateix motiu, i desactivar-los perquè una pàgina carregui canvia un fracàs visible per un d’invisible. Si no es pot arribar a un lloc sense excepció, la conclusió honesta és que la connexió no és verificable, no que el túnel l’hagi feta segura.

El xifratge tampoc no diu res sobre la intenció. Una connexió HTTPS vàlida amb un lloc enganyós lliura les vostres dades a aquell lloc amb una confidencialitat perfecta. Comproveu l’adreça i què envieu, no només si hi ha el cadenat.

Els serveis Onion són un model genuïnament diferent. S’hi arriba per la xarxa Tor sense una sortida pública ordinària, cosa que no és el mateix que accedir a un lloc públic a través de Tor. Tracteu-ho com un cas a part amb les seves pròpies expectatives, no com una versió més forta de la mateixa visita.

La regla que sobreviu a qualsevol configuració és curta. Mantingueu intacta la validació del navegador. Jutgeu cada capa per on acaba realment.