Pam mae HTTPS yn dal i fod yn bwysig ar ôl i’r twnnel VPN ddod i ben

Dangosydd VPN gwyrdd, teimlad o breifatrwydd, ac yna mae porwr yn taflu rhybudd tystysgrif ar safle’r banc. Nid oes dim yn y rhybudd hwnnw yn gwella oherwydd y twnnel. Mae VPN yn gwarchod y llwybr o’ch dyfais i’w weinydd ei hun; mae HTTPS yn gwarchod y cais o’ch porwr i bwynt TLS y wefan. Maent yn cwmpasu cymalau gwahanol o’r daith, ac nid yw’r naill yn disodli’r llall.

Dau dwnnel â dau ben gwahanol

Mae’r twnnel VPN yn gorffen yn y gweinydd VPN. Y tu hwnt i’r pwynt hwnnw, mae eich traffig yn parhau ar y rhyngrwyd cyffredin tuag at y cyrchfan. Gall gweithredwr y VPN weld metadata’r cysylltiad er na all ddarllen y llwyth.

Mae HTTPS yn dechrau yn eich porwr ac yn gorffen ym mhwynt TLS y wefan. Nid oes ots ganddo sut y cyrhaeddodd y pecyn y gweinydd, ac nid yw’n dibynnu ar fod VPN yn bresennol.

Dyna pam mae’r ddau amddiffyniad yn cyfuno yn hytrach na chystadlu. Mae’r VPN yn cuddio’r cais rhag y rhwydwaith lleol a rhag eich ISP hyd at ei allanfa. Mae HTTPS yn ei guddio rhag pob sylwedydd ar ôl yr allanfa honno, gan gynnwys darparwr y VPN ei hun. Nid yw’r naill yn cwmpasu bwlch y llall. Mae person sy’n deall hyn yn rhoi’r gorau i ofyn pa un sy’n ddigon.

Mae ffurflen HTTP cyffredin yn parhau’n gyffredin ar ôl yr allanfa

Nid yw hen safle sy’n derbyn ffurflen dros HTTP yn cael ei warchod y tu hwnt i weinydd y VPN. Mae’r twnnel yn cludo’r ffurflen i’r allanfa, ac mae gweddill y llwybr yn ei chludo’n agored.

Defnyddiwch y fersiwn HTTPS go iawn neu sianel swyddogol arall ar gyfer unrhyw beth sensitif.

Nid yw dangosydd cysylltiedig yn newid cludiant y rhaglen. Gall modd HTTPS yn unig y porwr helpu i atal cwymp damweiniol, ond ni all drwsio safle na chynigiodd TLS erioed.

Nid yw VPN yn gwella rhybudd tystysgrif

Gall enw gwesteiwr anghywir, tystysgrif ddarfodedig, cloc dyfais â gogwydd, neu ryng-gipio achosi methiant dilysu. Nid yw’r VPN yn gwneud yr un ohonynt yn ddiniwed.

Gwiriwch yr union gyfeiriad a chloc y system cyn unrhyw beth arall.

Os oes tudalen mewngofnodi rhwydwaith yn rhan o hyn, defnyddiwch lif porthladd caeth y platfform fel arfer. Peidiwch â rhoi esemptiad parhaol i safle cyfrif anghysylltiedig am fod rhwydwaith gwesty wedi gofyn i chi.

Ar ddyfais a reolir, gofynnwch a oes tystysgrif arolygu wedi’i gosod. Mae hynny’n newid y trefniant ymddiriedaeth arferol ac yn haeddu eglurhad penodol yn hytrach na chodi ysgwydd. Gofynnwch beth yw pwrpas y dystysgrif a phwy sy’n berchen arni.

Nid yw amgryptio yn atal olrhain

Mae’r sesiwn yn cludo cwcis, mewngofnodion a data ffurflenni i’r safle yn union fel y bwriadwyd. Gall traciwr reidio cysylltiad wedi’i amgryptio hefyd, ac mae’r rhan fwyaf yn gwneud hynny.

Mae VPN yn newid y llwybr a’r cyfeiriad allanfa ymddangosiadol. Nid yw’n newid yr hunaniaeth a roddwch drwy gyfrif, ac nid yw’n clirio’r cwci sy’n eich dilyn rhwng safleoedd.

Cadwch yr amddiffyniadau porwr rydych eisoes yn eu defnyddio. Mae’r VPN yn ychwanegiad atynt, nid yn ddisodliad.

Gwiriwch y cyfeiriad, nid y dangosydd

Dilyswch enw’r gwesteiwr yn y bar cyfeiriad a’r dystysgrif y mae’r safle’n ei chyflwyno. Mae’r clo yn golygu bod y cysylltiad wedi’i amgryptio i ryw bwynt; nid yw’n golygu mai’r pwynt hwnnw yw’r un roeddech yn bwriadu.

Mae dau orchymyn yn dangos y dystysgrif a’r gadwyn ailgyfeirio:

curl -sSI https://bank.example/ | head -5
openssl s_client -connect bank.example:443 -servername bank.example < /dev/null 2>/dev/null | openssl x509 -noout -subject -dates

Os yw’r dystysgrif yn enwi gwesteiwr gwahanol, stopiwch. Os yw’r cloc yn anghywir, cyweiriwch ef cyn ceisio eto. Os yw ailgyfeiriad yn eich anfon i HTTP plaen, triniwch hynny fel methiant y safle yn hytrach na rheswm i analluogi dilysu. Mae rhybudd y porwr yn bodoli am mai’r dewis arall yw dyfalu pa bwynt a gafodd eich cyfrinair.