Hvorfor HTTPS stadig betyder noget, når VPN-tunnelen slutter

Grøn VPN-indikator, følelse af privatliv, og så viser browseren en certifikatadvarsel på bankens websted. Intet ved den advarsel bliver bedre af tunnelen. En VPN beskytter vejen fra din enhed til dens egen server; HTTPS beskytter anmodningen fra din browser til webstedets TLS-endepunkt. De dækker forskellige strækninger af rejsen, og den ene erstatter ikke den anden.

To tunneler med to forskellige ender

VPN-tunnelen slutter ved VPN-serveren. Efter det punkt fortsætter din trafik på det almindelige internet mod destinationen. VPN-operatøren kan se forbindelsens metadata, selv om den ikke kan læse indholdet.

HTTPS starter i din browser og slutter ved webstedets TLS-endepunkt. Det er ligeglad med, hvordan pakken nåede serveren, og det afhænger ikke af, at VPN er til stede.

Derfor supplerer de to beskyttelser hinanden i stedet for at konkurrere. VPN skjuler anmodningen for det lokale netværk og for din internetudbyder frem til sin udgang. HTTPS skjuler den for enhver observatør efter den udgang, inklusive VPN-udbyderen selv. Ingen af dem dækker den andens hul. Den, der forstår dette, holder op med at spørge, hvilken der er nok.

En almindelig HTTP-formular forbliver almindelig efter udgangen

Et ældre websted, der accepterer en formular over HTTP, er ubeskyttet ud over VPN-serveren. Tunnelen bærer formularen til udgangen, og resten af ruten bærer den i klartekst.

Brug den ægte HTTPS-version eller en anden officiel kanal til alt følsomt.

En tilsluttet indikator ændrer ikke applikationens transport. Browserens tilstand med kun HTTPS kan hjælpe med at forhindre et tilfældigt fald tilbage, men den kan ikke reparere et websted, der aldrig tilbød TLS.

En certifikatadvarsel helbredes ikke af en VPN

Et forkert værtsnavn, et udløbet certifikat, et skævt ur på enheden eller aflytning kan alle forårsage en valideringsfejl. VPN gør ingen af dem uskadelige.

Kontroller den nøjagtige adresse og systemuret før alt andet.

Hvis en netværkslogindside er involveret, brug platformens normale captive portal-flow. Giv ikke en permanent undtagelse til et uvedkommende kontowebsted, fordi et hotelnetværk bad dig om det.

På en administreret enhed skal du spørge, om et inspektionscertifikat er installeret. Det ændrer den sædvanlige tillidsordning og fortjener en konkret forklaring i stedet for et skuldertræk. Spørg, hvad certifikatet skal bruges til, og hvem der ejer det.

Kryptering stopper ikke sporing

Sessionen bærer cookies, logins og formulardata til webstedet præcis som tilsigtet. En tracker kan også køre på en krypteret forbindelse, og de fleste gør det.

En VPN ændrer ruten og den tilsyneladende udgangsadresse. Den ændrer ikke den identitet, du giver via en konto, og den sletter ikke den cookie, der følger dig mellem websteder.

Behold de browserbeskyttelser, du allerede bruger. VPN er et tillæg til dem, ikke en erstatning.

Kontroller adressen, ikke indikatoren

Bekræft værtsnavnet i adresselinjen og det certifikat, webstedet viser. Hængelåsen betyder, at forbindelsen er krypteret til et eller andet endepunkt; det betyder ikke, at endepunktet er det, du havde tænkt på.

To kommandoer viser certifikatet og omdirigeringskæden:

curl -sSI https://bank.example/ | head -5
openssl s_client -connect bank.example:443 -servername bank.example < /dev/null 2>/dev/null | openssl x509 -noout -subject -dates

Hvis certifikatet angiver en anden vært, stop. Hvis uret er forkert, skal du rette det, før du prøver igen. Hvis en omdirigering sender dig til almindelig HTTP, skal du behandle det som en fejl på webstedet og ikke som en grund til at slå validering fra. Browseradvarslen findes, fordi alternativet er at gætte, hvilket endepunkt der modtog din adgangskode.