Nid yw VPN na Tor yn disodli HTTPS: ble mae pob haen yn gorffen

Mae VPN a chylched Tor ill dau yn amgryptio eich traffig am ran o’i daith. Mae’r ddau yn rhoi’r gorau i’w amgryptio wrth gymar o’u dewis eu hunain. HTTPS yw’r haen sy’n cyrraedd y wefan ei hun, ac nid yw unrhyw faint o dwnelu o’i blaen yn troi cyflwyniad ffurflen blaen yn un gwarchodedig. Mae dilyn pob haen hyd at y man lle mae’n gorffen yn gwneud hynny’n amlwg.

Tair haen, tri man terfyn gwahanol

Mae VPN confensiynol yn terfynu ei dwnnel wrth y gweinydd VPN. Mae popeth rhwng eich dyfais a’r gweinydd hwnnw y tu mewn i’r twnnel, ac nid yw popeth ar ei ôl yno. Mae cylched Tor yn ymddwyn yr un ffordd gyda chymar gwahanol, gan adael y rhwydwaith wrth relay allanfa sy’n anfon eich cais ymlaen i’r cyrchfan.

Mae TLS yn terfynu wrth y wefan. Mae’r dystysgrif a ddilyswyd gennych yn rhwymo enw gwesteiwr i allwedd a reolir gan y safle, ac mae allweddi sesiwn yn bodoli rhwng eich porwr a’r gweinydd hwnnw. Mae’r man terfyn hwnnw y tu hwnt i weinydd VPN a relay allanfa Tor ill dau.

Felly mae gan y tair haen dri ffin ymddiriedaeth wahanol, ac mae cais yn mynd drwyddynt i gyd yn olynol. Nid yw cryfhau un yn dweud dim am y lleill, a’r olaf yw’r unig un y mae’r gyrchfan yn cymryd rhan ynddo.

Yr hyn y mae’r naid olaf yn ei ddatgelu

Os yw’r cymhwysiad yn defnyddio HTTP blaen, mae’r cynnwys y tu hwnt i’r allanfa yn ddarllenadwy i bwy bynnag sy’n gweithredu’r naid honno. Gwnaeth y twnnel cynharach ei waith yn berffaith ac nid yw bellach yno. Mae manylion mewngofnodi a deipiwyd mewn ffurflen HTTP yn agored yn union yn y man lle daeth y warchodaeth i ben.

Gyda HTTPS wedi’i ddilysu’n gywir, ni all cyfryngydd ar y llwybr ddarllen nac addasu cynnwys y cymhwysiad yn dawel. Mae’n dal i weld eich bod wedi cysylltu, pryd, ac i ba gyfeiriad, oherwydd rhaid i benawdau’r pecynnau fod yn llwyadwy. Mae cyfrinachedd cynnwys a metadata am y cysylltiad yn briodweddau gwahanol, a’r cyntaf yn unig yw’r hyn y mae TLS yn ei ddarparu.

Mae hunaniaeth cyfrif yn drydedd beth eto. Mae mewngofnodi i gyfrif yn eich adnabod i’r gwasanaeth hwnnw beth bynnag fo’r cyfeiriad allanfa a ddefnyddiwyd gennych, felly mae’r allanfa yn gwarchod y llwybr rhwydwaith yn hytrach na’r cyfrif. Mae’r gwahaniaeth hwnnw’n goroesi unrhyw nifer o haenau o’i flaen. Nid yw newid allanfeydd byth yn newid yr hyn y mae sesiwn wedi mewngofnodi yn ei ddatgelu. Roedd y gwasanaeth yn gwybod pwy oeddech cyn i’r pecyn cyntaf adael.

Nid oes dim yn y drefniant hwn yn torri trwy ychwanegu ail dwnnel. Yr hyn sy’n newid yw pa arsylwr sy’n gweld y naid gyntaf, nid a yw’r naid olaf wedi’i hamgryptio.

Mae trefn yn newid yr arsylwyr, nid y man terfyn

Mae cadwyno VPN a Tor yn ffordd gyfreithlon o newid pwy sy’n gweld beth ar lefel rhwydwaith. Mae rhedeg Tor dros VPN yn cuddio’r ffaith eich bod yn defnyddio Tor rhag eich rhwydwaith mynediad, tra bod rhedeg VPN dros Tor yn cuddio eich cyfeiriad rhag y darparwr VPN. Mae’r ddwy drefn wedi’u disgrifio mewn dogfennaeth gyhoeddus ac mae gan y ddwy gyfaddawdau mewn perfformiad ac ymddygiad methiant.

Nid yw’r un drefn yn symud man terfyn TLS. Yn y ddau achos mae’r porwr yn dal i ddilysu tystysgrif ar gyfer yr enw gwesteiwr y gofynnwyd amdano, ac yn y ddau achos mae cyfeiriad HTTP yn dal i anfon ei gynnwys yn agored y tu hwnt i’r orsaf olaf. Mae’r cyfansoddiad yn newid y rhestr arsylwyr; nid yw’n newid nifer yr haenau wrth y gyrchfan.

Dyna pam mae cyngor am gadwyno yn tueddu i fod am fodelau bygythiad yn hytrach nag am ddiogelwch yn gyffredinol. Nid yw cadwyn hirach yn fersiwn gryfach o’r un peth, ac nid yw’n disodli’r protocol a ddewiswyd gan y cymhwysiad.

curl -sSI https://example.net | head -3
openssl s_client -connect example.net:443 -servername example.net -brief

Mae’r ddau orchymyn yn dangos yr haen sydd o bwys wrth y gyrchfan. Mae’r ail yn argraffu’r protocol a drafodwyd heb gynnwys unrhyw dwnnel. Nid yw’r un yn dweud dim wrthych am yr allanfa a ddefnyddiwyd gennych.

Cadwch y dilysu’n gweithio wrth ddatrys problemau

Mae rhybudd tystysgrif yn wybodaeth am y cysylltiad yr ydych ar fin ei wneud. Gall olygu camgymariaeth enw gwesteiwr, problem cloc, cadwyn annibynadwy, neu ymgais i ryng-gipio. Mae ychwanegu eithriad parhaol oherwydd bod VPN wedi cysylltu yn dileu’r unig signal a fyddai wedi gwahaniaethu’r achosion hynny.

Mae nodweddion cysylltiad diogel Tor Browser a’i rybuddion yn bodoli am yr un rheswm, ac mae eu hanalluogi er mwyn i dudalen lwytho yn cyfnewid methiant gweladwy am un anweladwy. Os na ellir cyrraedd safle heb eithriad, y casgliad gonest yw nad yw’r cysylltiad yn ddilysadwy, nid bod y twnnel wedi’i wneud yn ddiogel.

Nid yw amgryptio yn dweud dim am fwriad chwaith. Mae cysylltiad HTTPS dilys i safle twyllodrus yn danfon eich data i’r safle hwnnw gyda chyfrinachedd perffaith. Gwiriwch y cyfeiriad a’r hyn yr ydych yn ei gyflwyno, nid yn unig a yw’r clo yn bresennol.

Mae gwasanaethau Onion yn fodel gwirioneddol wahanol. Cyrhaeddir hwy trwy rwydwaith Tor heb allanfa gyhoeddus gyffredin, nad yw’r un peth â chyrchu gwefan gyhoeddus trwy Tor. Triniwch hynny fel achos ar wahân â’i ddisgwyliadau ei hun yn hytrach nag fel fersiwn gryfach o’r un ymweliad.

Mae’r rheol sy’n goroesi pob cyfluniad yn fyr. Cadwch ddilysiad y porwr yn gyfan. Barnwch bob haen yn ôl lle mae’n gorffen mewn gwirionedd.