Proč HTTPS záleží i poté, co tunel VPN skončí

Zelený ukazatel VPN, pocit soukromí, a pak prohlížeč vyhodí varování o certifikátu na stránce banky. Na tom varování tunel nic nezlepší. VPN chrání cestu ze zařízení k jeho vlastnímu serveru; HTTPS chrání požadavek z prohlížeče k TLS koncovému bodu webu. Kryjí různé úseky cesty a jeden nenahrazuje druhý.

Dva tunely se dvěma různými konci

Tunel VPN končí na serveru VPN. Za tímto bodem provoz pokračuje přes běžný internet k cíli. Provozovatel VPN vidí metadata spojení, i když nemůže číst obsah.

HTTPS začíná v prohlížeči a končí v TLS koncovém bodu webu. Nezajímá ho, jak paket dorazil na server, a nezávisí na přítomnosti VPN.

Proto se obě ochrany doplňují, místo aby si konkurovaly. VPN skrývá požadavek před místní sítí a před vaším ISP až ke svému východu. HTTPS ho skrývá před každým pozorovatelem za tímto východem, včetně samotného poskytovatele VPN. Ani jedna nepokrývá mezeru druhé. Kdo to pochopí, přestane se ptát, která stačí.

Obyčejný HTTP formulář zůstane obyčejný i za východem

Starší web, který přijímá formulář přes HTTP, není za serverem VPN chráněn. Tunel nese formulář k východu a zbytek trasy ho nese otevřeně.

Pro cokoli citlivého používejte skutečnou HTTPS verzi nebo jiný oficiální kanál.

Ukazatel připojení nemění přenos aplikace. Režim prohlížeče jen HTTPS může pomoci zabránit náhodnému pádu, ale nedokáže opravit web, který TLS nikdy nenabídl.

Varování o certifikátu VPN nevyléčí

Špatné jméno hostitele, propadlý certifikát, rozhozené hodiny zařízení nebo odposlech mohou způsobit selhání ověření. VPN nic z toho nečiní neškodným.

Zkontrolujte přesnou adresu a systémové hodiny dřív než cokoli jiného.

Pokud je zapojená přihlašovací stránka sítě, použijte obvyklý tok captive portálu platformy. Nedávejte trvalou výjimku nesouvisejícímu webu účtu jen proto, že o to požádala hotelová síť.

Na spravovaném zařízení se zeptejte, zda je nainstalován inspekční certifikát. To mění obvyklé uspořádání důvěry a zaslouží si konkrétní vysvětlení, ne pokrčení rameny. Zeptejte se na účel certifikátu a komu patří.

Šifrování nezastaví sledování

Relace nese cookies, přihlášení a data formulářů na web přesně tak, jak je zamýšleno. Sledovač se může vézt i na šifrovaném spojení a většina to dělá.

VPN mění trasu a zdánlivou výstupní adresu. Nemění identitu, kterou poskytujete účtem, a nesmazává cookie, která vás mezi weby sleduje.

Ponechte si ochrany prohlížeče, které už používáte. VPN je k nim přidaná, ne náhrada.

Kontrolujte adresu, ne ukazatel

Ověřte jméno hostitele v adresním řádku a certifikát, který web předkládá. Visací zámek znamená, že spojení je šifrované k nějakému bodu; neznamená, že tím bodem je ten, který jste zamýšleli.

Dva příkazy ukážou certifikát a řetězec přesměrování:

curl -sSI https://bank.example/ | head -5
openssl s_client -connect bank.example:443 -servername bank.example < /dev/null 2>/dev/null | openssl x509 -noout -subject -dates

Pokud certifikát uvádí jiného hostitele, zastavte se. Pokud jsou hodiny špatně, opravte je před dalším pokusem. Pokud vás přesměrování pošle na obyčejný HTTP, berte to jako selhání webu, ne jako důvod vypnout ověřování. Varování prohlížeče existuje proto, že alternativou je hádání, který bod dostal vaše heslo.