Τι κρυπτογραφεί η σήραγγα και τι αφήνει αναγνώσιμο

Η σήραγγά σας είναι ενεργή, μια καρτέλα δείχνει πράσινο λουκέτο, και μια απλή σελίδα HTTP σε άλλη καρτέλα εξακολουθεί να προειδοποιεί ότι η σύνδεση δεν είναι ασφαλής. Αυτός ο συνδυασμός μπερδεύει τους ανθρώπους, γιατί οι δύο προστασίες καλύπτουν διαφορετικές αποστάσεις. Ένα VPN προστατεύει την κίνηση ανάμεσα στα δικά του άκρα, και πέρα από την έξοδο η κίνηση γίνεται πάλι συνηθισμένη. Το HTTPS προστατεύει μία σύνδεση μέχρι τον ιστότοπο. Η παράθεση αυτών των δύο γεγονότων εξηγεί τις περισσότερες ερωτήσεις για το τι κρύβει στην πραγματικότητα ένα VPN.

Τι καλύπτει στην πραγματικότητα η σήραγγα

Ανάμεσα στον πελάτη και τον ομότιμο του VPN, ένας παρατηρητής βλέπει κρυπτογραφημένα byte αντί για αναγνώσιμο αίτημα. Αυτό καλύπτει το τμήμα που διασχίζει η σήραγγα, το οποίο συνήθως είναι το κομμάτι που δεν ελέγχετε. Δεν εκτείνεται στον σύνδεσμο ανάμεσα στην έξοδο του VPN και τον ιστότοπο, γιατί η σήραγγα τελείωσε στην έξοδο. Τα byte γίνονται ξανά αναγνώσιμα από τη στιγμή που η σήραγγα τερματίζεται. Τίποτε σε αυτό δεν είναι λάθος ρύθμιση.

Η έξοδος είναι μια μηχανή που αποκρυπτογραφεί και προωθεί, και ακριβώς γι' αυτό υπάρχει ένα VPN. Ό,τι προωθεί είναι ορατό σε αυτήν στη μορφή που το έλαβε, οπότε ένα απλό αίτημα HTTP παραμένει απλό κείμενο από την έξοδο και μετά.

Διαβάστε το ως ιδιότητα και όχι ως ελάττωμα. Η κρυπτογράφηση περιορίζεται σε μια διαδρομή, και η διαδρομή τελειώνει εκεί όπου αρχίζει η υπηρεσία.

Κλειδιά, nonces και ακεραιότητα με απλά λόγια

Η τρέχουσα κίνηση προστατεύεται με συμμετρική κρυπτογραφία, και τα δύο άκρα παράγουν ή αποκτούν το υλικό κλειδιού κατά τη χειραψία. Η πιστοποιημένη κρυπτογράφηση, που περιγράφεται γενικά στο RFC 5116, δίνει εμπιστευτικότητα και ακεραιότητα σε μία κατασκευή. Ο δέκτης απορρίπτει τροποποιημένα byte αντί απλώς να αποτυγχάνει να τα διαβάσει, και αυτό είναι το σημείο που ξεχνούν οι άνθρωποι όταν νομίζουν ότι κρυπτογράφηση σημαίνει ανακάτεμα.

Τα κλειδιά προέρχονται από αυτή την ανταλλαγή, όχι από τον κωδικό που πληκτρολογείται στη σύνδεση. Ο κωδικός πιστοποιεί μια ταυτότητα, και έπειτα το πρωτόκολλο εγκαθιδρύει υλικό συνεδρίας. Η εφήμερη ανταλλαγή κλειδιών δίνει εμπροσθοφυλαγμένη μυστικότητα, ώστε μια καταγεγραμμένη συνεδρία να παραμένει μη αναγνώσιμη ακόμη και αν αργότερα διαρρεύσει ένα μακροπρόθεσμο κλειδί.

Ένας μεγάλος αριθμός σε μια προδιαγραφή δεν απαντά σε καμία από αυτές τις ερωτήσεις, και η σύγκριση αριθμών μεταξύ άσχετων αλγορίθμων δεν είναι κατάταξη. Ρωτήστε αντ' αυτού τι παρέχει η ανταλλαγή κλειδιών.

Πού τελειώνει η σήραγγα

Το άκρο που τερματίζει τη σήραγγα μπορεί να διαβάσει ό,τι προωθεί. Αυτό ισχύει εξίσου για μια εταιρική πύλη, έναν εμπορικό πάροχο και έναν αυτοφιλοξενούμενο διακομιστή. Είναι ο σχεδιασμός, όχι ελάττωμά του. Η ισχυρή κρυπτογραφία δεν μπορεί να εμποδίσει ένα παραβιασμένο άκρο να διαβάσει απλό κείμενο που φτάνει σε αυτό, γιατί το άκρο είναι εκεί όπου σταματά η προστασία.

Το HTTPS συνεχίζει πέρα από αυτό το σημείο, γι' αυτό ένας ιστότοπος μπορεί να είναι ασφαλής σε εχθρικό δίκτυο ακόμη και χωρίς VPN. Οι δύο προστασίες επικαλύπτονται στο πρώτο τμήμα και μόνο μία από αυτές συνεχίζει μετά την έξοδο.

Γι' αυτό επίσης η αποδυνάμωση της επαλήθευσης πιστοποιητικού για να λειτουργήσει μια σύνδεση δεν είναι δοκιμή της σήραγγας. Απενεργοποιεί μια άλλη προστασία και σας αφήνει με λιγότερα από όσα είχατε στην αρχή.

Γιατί η ανωνυμία είναι άλλο προϊόν

Οι διευθύνσεις, ο χρόνος και ο όγκος παραμένουν παρατηρήσιμα έξω από τη σήραγγα. Ένας παρατηρητής μπορεί να δει ότι κίνηση ρέει προς ένα άκρο VPN, περίπου πόση και πότε. Το περιεχόμενο μπορεί να είναι μη αναγνώσιμο ενώ το μοτίβο εξακολουθεί να πληροφορεί.

Ο πάροχος βρίσκεται επίσης σε διαφορετικό σημείο από το δικό σας δίκτυο, που είναι αλλαγή παρατηρητή και όχι κατάργηση της παρατήρησης. Τα cookies, οι συνδέσεις και τα αναγνωριστικά λογαριασμού λειτουργούν ακριβώς όπως πριν, γιατί η σήραγγα δεν υποσχέθηκε ποτέ να τα αλλάξει.

Επιλέξτε πάροχο με βάση την πολιτική καταγραφής και τη δικαιοδοσία του αν αυτό είναι η απαίτηση, και μετά διαβάστε την ίδια την πολιτική. Οι σελίδες μάρκετινγκ σπάνια απαντούν σε αυτή την ερώτηση με τρόπο που να μπορεί κάποιος να ελέγξει.

Ελέγξτε τη σήραγγα και τον ιστότοπο ξεχωριστά

Επαληθεύστε πρώτα τη σήραγγα, ώστε να ξέρετε ποια προστασία δοκιμάζετε. Έπειτα επαληθεύστε τη δική του μεταφορά του ιστότοπου και συγκρίνετε τα δύο αποτελέσματα αντί να υποθέσετε ότι το ένα συνεπάγεται το άλλο. Μια σήραγγα που μεταφέρει απλό HTTP και ένας ιστότοπος που σερβίρει HTTPS κάνουν και τα δύο ακριβώς ό,τι έχουν ρυθμιστεί να κάνουν.

Εκτελέστε τους ελέγχους σε έναν κεντρικό υπολογιστή που σας επιτρέπεται να δοκιμάσετε, και διαβάστε την έξοδο και όχι τη σύνοψη.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

Όταν η σήραγγα είναι ενεργή και ο ιστότοπος είναι HTTPS, έχετε δύο προστασίες στο πρώτο τμήμα και μία στο δεύτερο. Όταν ο ιστότοπος είναι απλό HTTP, το δεύτερο τμήμα είναι αναγνώσιμο από οποιονδήποτε βρίσκεται σε αυτό, συμπεριλαμβανομένης της εξόδου που προώθησε το αίτημα. Το να ξέρετε ποια από τις δύο λείπει είναι όλη η διάγνωση, και χρειάζονται δύο εντολές αντί για νέο πελάτη.