Co tunel šifruje a co nechává čitelné

Tunel běží, jedna karta ukazuje zelený zámek a obyčejná HTTP stránka v jiné kartě stále varuje, že spojení není zabezpečené. Tahle kombinace lidi mate, protože obě ochrany pokrývají různou vzdálenost. VPN chrání provoz mezi svými koncovými body a za výstupem je provoz zase obyčejný. HTTPS chrání jedno spojení až k webu. Když se tyhle dva fakty dají vedle sebe, vysvětlí to většinu otázek o tom, co VPN vlastně skrývá.

Co tunel skutečně pokrývá

Mezi klientem a protějškem VPN vidí pozorovatel šifrované bajty, ne čitelný požadavek. To pokrývá úsek, který tunel přechází, tedy obvykle tu část, kterou neovládáte. Nerozšiřuje se na spoj mezi výstupem VPN a webem, protože tunel na výstupu skončil. Bajty jsou znovu čitelné od okamžiku, kdy tunel skončí. Nic z toho není chybná konfigurace.

Výstup je stroj, který dešifruje a předává dál, a přesně k tomu VPN slouží. Vše, co předává, je mu viditelné v podobě, v jaké to dostal, takže obyčejný HTTP požadavek zůstává od výstupu dál prostým textem.

Čtěte to jako vlastnost, ne jako vadu. Šifrování je omezeno na cestu a cesta končí tam, kde začíná služba.

Klíče, nonce a integrita polopatě

Probíhající provoz je chráněn symetrickou kryptografií a oba konce odvozují nebo získávají klíčový materiál během handshaku. Autentizované šifrování, popsané obecně v RFC 5116, dává důvěrnost i integritu v jedné konstrukci. Příjemce odmítá změněné bajty, místo aby je jen nedokázal přečíst, a to je ta část, na kterou lidé zapomínají, když si myslí, že šifrování znamená zamíchání.

Klíče pocházejí z této výměny, ne z hesla zadaného při přihlášení. Heslo autentizuje identitu a protokol pak ustaví materiál relace. Efemérní výměna klíčů dává dopřednou utajenost, takže zaznamenaná relace zůstane nečitelná, i když dlouhodobý klíč později unikne.

Velké číslo ve specifikaci neodpovídá na žádnou z těch otázek a srovnávání čísel mezi nesouvisejícími algoritmy není žebříček. Ptejte se místo toho, co výměna klíčů poskytuje.

Kde tunel končí

Koncový bod, který tunel ukončuje, může číst to, co předává. To platí stejně pro firemní bránu, komerčního poskytovatele i vlastní server. Je to design, ne jeho vada. Silná kryptografie nezabrání kompromitovanému koncovému bodu číst prostý text, který k němu dorazí, protože právě v koncovém bodě ochrana končí.

HTTPS pokračuje za tímto bodem, a proto může být web bezpečný i v nepřátelské síti bez VPN. Obě ochrany se překrývají v prvním úseku a po výstupu pokračuje jen jedna z nich.

Proto oslabení ověřování certifikátu, aby spojení fungovalo, není test tunelu. Vypíná jinou ochranu a nechává vás s méně, než jste měli na začátku.

Proč je anonymita jiný produkt

Adresy, časování a objem zůstávají mimo tunel pozorovatelné. Pozorovatel může vidět, že provoz teče ke koncovému bodu VPN, přibližně kolik a kdy. Obsah může být nečitelný, zatímco vzorec stále nese informaci.

Poskytovatel také sídlí jinde než vaše síť, což je změna pozorovatele, ne odstranění pozorování. Cookies, přihlášení a identifikátory účtu fungují přesně jako dřív, protože tunel nikdy neslíbil, že je změní.

Vyberte poskytovatele podle jeho zásad protokolování a jurisdikce, pokud je to požadavek, a pak si přečtěte samotné zásady. Marketingové stránky na tuhle otázku zřídka odpovídají tak, aby to někdo mohl ověřit.

Ověřujte tunel a web odděleně

Nejprve ověřte tunel, abyste věděli, kterou ochranu testujete. Pak ověřte vlastní přenos webu a oba výsledky porovnejte, místo abyste předpokládali, že jedno znamená druhé. Tunel, který přenáší obyčejné HTTP, a web, který poskytuje HTTPS, dělají přesně to, k čemu byly nastaveny.

Spouštějte kontroly proti hostiteli, který smíte testovat, a čtěte výstup, ne shrnutí.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

Když tunel běží a web je HTTPS, máte dvě ochrany v prvním úseku a jednu ve druhém. Když je web obyčejné HTTP, druhý úsek je čitelný pro kohokoli v něm, včetně výstupu, který požadavek předal. Vědět, která z těch dvou chybí, je celá diagnóza a chce to dva příkazy, ne nového klienta.