VPN a Tor nenahrazují HTTPS: kde která vrstva končí

VPN i okruh Tor šifrují váš provoz po část cesty. Oba přestávají šifrovat u protějšku, který si samy vyberou. HTTPS je vrstva, která dojde až k samotnému webu, a žádné množství tunelování před ní nezmění obyčejné odeslání formuláře na chráněné. Když každou vrstvu sledujete až k bodu, kde končí, je to zřejmé.

Tři vrstvy, tři různé koncové body

Běžná VPN ukončuje svůj tunel na VPN serveru. Vše mezi vaším zařízením a tímto serverem je uvnitř tunelu a vše po něm už ne. Okruh Tor se chová stejně s jiným protějškem a opouští síť na výstupním relayi, který předá váš požadavek cíli.

TLS končí na webu. Certifikát, který jste ověřili, váže název hostitele ke klíči, který web kontroluje, a relační klíče existují mezi vaším prohlížečem a tímto serverem. Tento koncový bod leží za VPN serverem i za výstupem Tor.

Tři vrstvy tedy mají tři různé hranice důvěry a požadavek prochází postupně všemi. Posílení jedné neříká nic o ostatních a poslední je jediná, na níž se cíl podílí.

Co poslední skok odhaluje

Pokud aplikace používá prostý HTTP, obsah za výstupem může číst kdokoli, kdo tomuto skoku vládne. Dřívější tunel odvedl svou práci dokonale a prostě už není. Údaje zadané do HTTP formuláře jsou vystaveny přesně v bodě, kde ochrana skončila.

Při správně ověřeném HTTPS nemůže prostředník na cestě obsah aplikace číst ani tiše měnit. Stále vidí, že jste se připojili, kdy a na kterou adresu, protože hlavičky paketů musí být směrovatelné. Důvěrnost obsahu a metadata o spojení jsou různé vlastnosti a jen první z nich TLS poskytuje.

Identita účtu je zase třetí věc. Přihlášení k účtu vás této službě identifikuje bez ohledu na to, kterou výstupní adresu jste použili, takže výstup chrání síťovou cestu, nikoli účet. Tento rozdíl přežije jakýkoli počet vrstev před ním. Změna výstupu nikdy nemění to, co přihlášená relace odhalí. Služba věděla, kdo jste, dřív než odešel první paket.

Na tomto uspořádání nic nezkazí přidání druhého tunelu. Mění se to, který pozorovatel vidí první skok, ne to, zda je poslední skok šifrovaný.

Pořadí mění pozorovatele, ne koncový bod

Řetězení VPN a Tor je legitimní způsob, jak na síťové úrovni změnit, kdo co vidí. Spuštění Toru přes VPN skrývá před vaší přístupovou sítí fakt, že Tor používáte, zatímco spuštění VPN přes Tor skrývá vaši adresu před poskytovatelem VPN. Obě pořadí jsou popsána ve veřejné dokumentaci a obě mají kompromisy ve výkonu a chování při selhání.

Ani jedno pořadí neposouvá koncový bod TLS. V obou případech prohlížeč stále ověřuje certifikát pro požadovaný název hostitele a v obou případech HTTP adresa stále odesílá svůj obsah nešifrovaně za posledním relayem. Skladba mění seznam pozorovatelů; nemění počet vrstev u cíle.

Proto se rady o řetězení obvykle týkají modelů hrozeb, nikoli bezpečnosti obecně. Delší řetěz není silnější verzí téhož a nenahrazuje protokol, který aplikace zvolila.

curl -sSI https://example.net | head -3
openssl s_client -connect example.net:443 -servername example.net -brief

Oba příkazy ukazují vrstvu, na níž u cíle záleží. Druhý vypíše dohodnutý protokol, aniž by zapojil jakýkoli tunel. Ani jeden vám neřekne nic o výstupu, který jste použili.

Udržte ověřování funkční, dokud řešíte potíže

Varování o certifikátu je informace o spojení, které se chystáte navázat. Může znamenat neshodu názvu hostitele, problém s hodinami, nedůvěryhodný řetěz nebo pokus o odposlech. Přidání trvalé výjimky proto, že je připojena VPN, odstraní jediný signál, který by tyto případy rozlišil.

Funkce zabezpečeného připojení v Tor Browseru a jeho varování existují ze stejného důvodu a jejich vypnutí, aby se stránka načetla, vyměňuje viditelné selhání za neviditelné. Pokud se na web nelze dostat bez výjimky, poctivý závěr je, že spojení nelze ověřit, ne že ho tunel udělal bezpečným.

Šifrování také neříká nic o úmyslu. Platné HTTPS spojení s podvodným webem doručí vaše data tomuto webu s dokonalou důvěrností. Kontrolujte adresu a co odesíláte, ne jen zda je přítomen zámek.

Onion služby jsou skutečně jiný model. Dosahuje se jich přes síť Tor bez běžného veřejného výstupu, což není totéž jako přístup k veřejnému webu přes Tor. Berte to jako samostatný případ s vlastními očekáváními, ne jako silnější verzi téže návštěvy.

Pravidlo, které přežije každou konfiguraci, je krátké. Zachovejte ověřování prohlížeče nedotčené. Suďte každou vrstvu podle toho, kde skutečně končí.