Beth mae'r twnnel yn ei amgryptio, a beth sy'n aros yn ddarllenadwy

Mae eich twnnel i fyny, mae un tab yn dangos clo gwyrdd, ac mae tudalen HTTP blaen mewn tab arall yn dal i rybuddio nad yw'r cysylltiad yn ddiogel. Mae'r cyfuniad hwnnw'n drysu pobl oherwydd bod y ddau amddiffyniad yn cwmpasu pellteroedd gwahanol. Mae VPN yn amddiffyn traffig rhwng ei bennau ei hun, ac y tu hwnt i'r allanfa mae'r traffig yn gyffredin eto. Mae HTTPS yn amddiffyn un cysylltiad yr holl ffordd i'r wefan. Mae rhoi'r ddau ffaith hynny ochr yn ochr yn esbonio'r rhan fwyaf o'r cwestiynau am yr hyn mae VPN yn ei guddio mewn gwirionedd.

Beth mae'r twnnel yn ei gwmpasu mewn gwirionedd

Rhwng y cleient a chydymaith y VPN, mae arsylwr yn gweld beitiau amgryptiedig yn hytrach na chais darllenadwy. Mae hynny'n cwmpasu'r segment y mae'r twnnel yn ei groesi, sef fel arfer y rhan nad ydych yn ei rheoli. Nid yw'n ymestyn i'r cyswllt rhwng allanfa'r VPN a'r wefan, oherwydd bod y twnnel wedi gorffen yn yr allanfa. Mae'r beitiau'n ddarllenadwy eto o'r eiliad y mae'r twnnel yn terfynu. Nid yw dim o hynny'n gamgymeriad cyfluniad.

Mae'r allanfa'n beiriant sy'n dadgryptio ac yn anfon ymlaen, a dyna'n union beth y mae VPN ar ei gyfer. Mae unrhyw beth y mae'n ei anfon ymlaen yn weladwy iddi yn y ffurf y'i derbyniodd, felly mae cais HTTP blaen yn aros yn destun plaen o'r allanfa ymlaen.

Darllenwch hynny fel priodwedd yn hytrach na nam. Mae amgryptio wedi'i gwmpasu i lwybr, ac mae'r llwybr yn gorffen lle mae'r gwasanaeth yn dechrau.

Allweddi, nonce a chyfanrwydd mewn geiriau syml

Mae traffig parhaus yn cael ei amddiffyn â chryptograffeg gymesur, ac mae'r ddau ben yn deillio neu'n cael y deunydd allwedd yn ystod yr ysgwyd llaw. Mae amgryptio dilysedig, a ddisgrifir yn gyffredinol gan RFC 5116, yn rhoi cyfrinachedd a chyfanrwydd mewn un adeiladwaith. Mae'r derbynnydd yn gwrthod beitiau a addaswyd yn hytrach nag yn methu â'u darllen, a dyna'r rhan y mae pobl yn ei hanghofio pan fyddant yn meddwl bod amgryptio yn golygu cymysgu.

Daw allweddi o'r cyfnewidiad hwnnw, nid o'r cyfrinair a deipiwyd wrth fewngofnodi. Mae'r cyfrinair yn dilysu hunaniaeth, ac yna mae'r protocol yn sefydlu deunydd sesiwn. Cyfnewid allwedd dros dro sy'n rhoi cyfrinachedd ymlaen, felly mae sesiwn a recordiwyd yn aros yn annarllenadwy hyd yn oed os bydd allwedd hirdymor yn gollwng yn ddiweddarach.

Nid yw rhif mawr mewn manyleb yn ateb unrhyw un o'r cwestiynau hynny, ac nid yw cymharu rhifau ar draws algorithmau diberthyn yn raddio. Gofynnwch beth y mae'r cyfnewid allwedd yn ei ddarparu yn lle hynny.

Lle mae'r twnnel yn gorffen

Gall y pen sy'n terfynu'r twnnel ddarllen yr hyn y mae'n ei anfon ymlaen. Mae hynny'n wir am borth corfforaethol, darparwr masnachol a gweinydd hunangynnal fel ei gilydd. Dyma'r dylunio, nid nam ynddo. Ni all cryptograffeg gref atal pen cyfaddawd rhag darllen testun plaen sy'n cyrraedd yno, oherwydd mai'r pen yw lle mae'r amddiffyniad yn stopio.

Mae HTTPS yn parhau y tu hwnt i'r pwynt hwnnw, a dyna pam y gall safle fod yn ddiogel ar rwydwaith gelyniaethus hyd yn oed heb VPN. Mae'r ddau amddiffyniad yn gorgyffwrdd ar y segment cyntaf a dim ond un ohonynt sy'n parhau ar ôl yr allanfa.

Dyna hefyd pam nad yw gwanhau dilysu tystysgrif er mwyn i gysylltiad weithio yn brawf o'r twnnel. Mae'n analluogi amddiffyniad gwahanol ac yn eich gadael â llai nag oedd gennych ar y dechrau.

Pam mai cynnyrch gwahanol yw anhysbysrwydd

Mae cyfeiriadau, amseru a chyfaint yn parhau i fod yn arsylwadwy y tu allan i'r twnnel. Gall arsylwr weld bod traffig yn llifo i ben VPN, tua faint, a phryd. Gall cynnwys fod yn annarllenadwy tra bo'r patrwm yn dal yn hysbysiadol.

Mae'r darparwr hefyd yn eistedd yn rhywle gwahanol i'ch rhwydwaith eich hun, sef newid arsylwr yn hytrach na dileu arsylwi. Mae cwcis, mewngofnodion a nodwyr cyfrif yn parhau i weithio'n union fel o'r blaen, oherwydd ni wnaeth y twnnel erioed addo eu newid.

Dewiswch ddarparwr ar sail ei bolisi cofnodi a'i awdurdodaeth os mai dyna'r gofyniad, yna darllenwch y polisi ei hun. Anaml y mae tudalennau marchnata yn ateb y cwestiwn hwnnw mewn ffordd y gall unrhyw un ei chraffu.

Gwiriwch y twnnel a'r safle ar wahân

Gwiriwch y twnnel yn gyntaf, fel y gwyddoch pa amddiffyniad yr ydych yn ei brofi. Yna gwiriwch gludiant y safle ei hun, a chymharwch y ddau ganlyniad yn lle tybio bod un yn awgrymu'r llall. Mae twnnel sy'n cario HTTP plaen a safle sy'n gwasanaethu HTTPS ill dau yn gwneud yn union yr hyn y cawsant eu cyflunio i'w wneud.

Rhedwch y gwiriadau yn erbyn gwesteiwr y cewch ei brofi, a darllenwch yr allbwn yn hytrach na'r crynodeb.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

Pan fydd y twnnel i fyny a'r safle'n HTTPS, mae gennych ddau amddiffyniad ar y segment cyntaf ac un ar yr ail. Pan fydd y safle'n HTTP plaen, mae'r ail segment yn ddarllenadwy gan unrhyw un arno, gan gynnwys yr allanfa a anfonodd y cais ymlaen. Gwybod pa un o'r ddau sydd ar goll yw'r diagnosis cyfan, ac mae'n cymryd dwy orchymyn yn hytrach na chleient newydd.