Čtyři hranice, které je třeba ověřit před platbou přes VPN

Projděte čtyři hranice v pořadí a většina otázek k platbě se vyřeší sama. První je prostředí, ve kterém transakce běží, druhá je cesta, kterou jde její provoz, třetí je, zda je to skutečně ten web, který jste chtěli navštívit, a čtvrtá je, co se příjemce o transakci dozví bez ohledu na cestu. Bezpečnostní balík, který spojuje chráněný prohlížeč s tunelem, vás vyzývá brát jedno tlačítko jako jednu záruku, a právě tam se kontroly přeskakují. Každá kontrola má svou podmínku zastavení a pořadí je důležité, protože pozdější nedokáže napravit dřívější selhání.

Za prvé: co chráněné prostředí vlastně omezuje

Prodejní text k režimu platby obvykle uvádí omezení: které další aplikace mohou se sezením komunikovat, zda je omezena schránka a snímání obrazovky, zda sezení běží na samostatné ploše. Co však neprokazuje, je to, že privilegovaná komponenta hostitele, ovladač nebo vstupní mechanismus mimo sandbox nemohou sezení dosáhnout. Být v sandboxu je popis hranice, ne slib o každém útočníkovi.

Přečtěte si seznam funkcí u vydání, které jste skutečně nainstalovali, protože sloučené režimy se často liší mezi spotřebitelskými úrovněmi a na spravovaných zařízeních někdy chybějí. Porovnejte tento seznam se selháním, které vidíte, než předpokládáte, že hranice vydržela.

Pak se zastavte a zeptejte se, zda je selhání, které sledujete, vůbec místní. Pokud se platební stránka zobrazuje špatně jen v chráněném režimu, podezřelé je prostředí a tunel je nepodstatný. Pokud se zobrazuje správně všude, ale transakce stále selhává, díváte se na další hranici a oslabení chráněného režimu nepomůže.

Za druhé: jaký provoz tunel nese

Tunel chrání provoz, který pokrývá, a pokrytí je skutečnost konfigurace, ne vlastnost produktu. Zeptejte se, zda je zahrnut vlastní provoz chráněného prohlížeče, zda režim obchází tunel kvůli výkonu nebo kvůli captive portálu a zda pravidlo rozděleného tunelu vylučuje cíl. Běžný prohlížeč, který ukazuje výstupní adresu poskytovatele, nic nedokazuje o samostatném prohlížecím prostředí spuštěném jiným procesem.

Pokrytí testujte zevnitř prostředí, ne z plochy. Načtěte stránku, která v chráněném sezení zobrazí vaši veřejnou adresu, porovnejte ji s adresou, kterou vidíte venku, a pak to zopakujte po opětovném připojení tunelu. Pokud se obě shodují, zatímco tunel tvrdí jiný výstup, režim tunel nepoužívá a tenhle nesoulad stojí za vyřešení dřív, než zadáte údaje o kartě. Změnu výstupní adresy lze také snadno přecenit: říká vám, kterou síť obchodník vidí, ne kdo obchodník je.

Za třetí: ověřte službu, ne odznak

Validace certifikátu je to, co autentizuje cíl, a funguje dál i po výstupu z tunelu, protože jde o samostatný mechanismus. Chráněné okno se značkou a indikátor Connected neříkají nic o řetězci certifikátů, který předkládá web, na který jste dorazili.

Když něco vypadá špatně, přečtěte si certifikát, než upozornění odmítnete. Příkaz níže vyžádá řetězec, který web skutečně předkládá, a řekne nástroji, aby při chybě ověření selhal.

openssl s_client -connect shop.example:443 -servername shop.example -verify_return_error

Porovnejte subjekt a vydavatele v tomto výstupu s adresou, kterou jste zadali, a potvrďte výsledek ověření, ne přítomnost visacího zámku. Upozornění uvnitř chráněného prohlížeče je pořád upozornění a obvyklou příčinou je neshoda názvu hostitele, unesená odpověď DNS nebo odposlouchávací zařízení na cestě. Nic z toho tunel neopraví a režim, který upozornění tiše potlačí, odstranil informaci, kterou jste potřebovali.

Za čtvrté: co se příjemce stejně dozví

Platební web dostane vše, co mu pošlete: účet, do kterého se přihlašujete, dodací adresu, platební prostředek a částku. Jiný síťový výstup změní zdrojovou adresu v záznamech obchodníka a ta pole nechá přesně tak, jak byla. Pokud je účet už svázán s vámi, tunel změnil malou část obrazu a nic z identifikující části. To není důvod tunel vynechat, jen důvod přestat čekat, že tuhle práci udělá.

Dokumentace Bitdefenderu k Safepay popisuje chráněný prohlížeč s navazující integrací tunelu, což je dobrý příklad produktu, který pokrývá dvě hranice, aniž by je slučoval. Prostředí i cesta jsou užitečné a ani jedno z nich neručí za obchodníka.

U platby, na které vám záleží, začněte na zveřejněné adrese organizace nebo v její oficiální aplikaci, zachovejte ověření identity, která web žádá, a odmítněte každého pomocníka nabídnutého nečekaným dotazem na platební stránce. Pokud chráněný režim nebo tunel způsobí selhání, pojmenujte nejdřív hranici: spuštění prostředí, dosažení sítě, validace certifikátu, nebo autentizace účtu. Pak použijte dodavatelem podporovanou cestu obnovy pro danou vrstvu, místo abyste vypínali ochrany a zjišťovali, zda se stránka načte.