VPNak eta Torrek ez dute HTTPS ordezkatzen: non amaitzen den geruza bakoitza
Tunel bat bere parean amaitzen da eta Tor zirkuitu bat irteera-errele batean. HTTPS da gunea bera iristen den geruza bakarra, beraz formulariko testu soila irakurgarri geratzen da.
VPN batek eta Tor zirkuitu batek zure trafikoa bidaiaren zati batean zifratzen dute. Biek beren aukerako pare batean uzten diote zifratzeari. HTTPS da webgunea bera iristen den geruza, eta aurrean jarritako tunelez osatutako edozein kopuruk ez du formulario soil baten bidalketa babestu batean bihurtzen. Geruza bakoitza amaitzen den punturaino jarraitzeak begi-bistakoa egiten du hori.
Hiru geruza, hiru amaiera-puntu desberdin
VPN konbentzional batek VPN zerbitzarian amaitzen du bere tunela. Zure gailuaren eta zerbitzari horren arteko guztia tunelaren barruan dago, eta haren ondorengo guztia ez. Tor zirkuitu batek modu berean jokatzen du beste pare batekin, eta saretik irteera-errele batean irteten da, zure eskaera helmugara bidaltzen duena.
TLS webgunean amaitzen da. Baliozkotu zenuen ziurtagiriak ostalari-izena guneak kontrolatzen duen gako bati lotzen dio, eta saio-gakoak zure nabigatzailearen eta zerbitzari horren artean daude. Amaiera-puntu hori VPN zerbitzariaren eta Tor irteeraren beste aldean dago.
Beraz, hiru geruzen konfiantza-muga desberdinak dituzte, eta eskaera bat guztietatik zeharka igarotzen da. Bat indartzeak ez du ezer esaten besteei buruz, eta azkena da helmugak parte hartzen duen bakarra.
Zer uzten du agerian azken jauziak
Aplikazioak HTTP soila erabiltzen badu, irteeraren ondorengo edukia jauzi hori kudeatzen duen edonork irakur dezake. Aurreko tunelak bere lana primeran egin zuen eta besterik gabe ez dago jada. HTTP formularioan idatzitako kredentzialak babesa amaitu zen puntu zehatzean geratzen dira agerian.
| Layer | Terminates at | Who can read the request there |
|---|---|---|
| VPN tunnel | The VPN server you selected | The operator of that server, and anyone who can compel them |
| Tor circuit | An exit relay chosen by the network | The exit relay operator, for traffic that is not otherwise protected |
| HTTPS | The website's own TLS endpoint | The site itself, and no intermediary on the path |
Behar bezala baliozkotutako HTTPSrekin, bideko bitartekari batek ezin du aplikazioaren edukia irakurri edo isilpean aldatu. Oraindik ikusten du konektatu zarela, noiz eta zein helbidetara, paketeen goiburuak bideragarriak izan behar direlako. Edukiaren konfidentzialtasuna eta konexioari buruzko metadatuak propietate desberdinak dira, eta lehenengoa soilik da TLSek ematen duena.
Kontuaren identitatea hirugarren gauza bat da berriz. Kontu batean saioa hasten duzunean, zerbitzu horri nor zaren adierazten diozu erabili zenuen irteera-helbidea edozein dela ere, beraz irteerak sare-bidea babesten du, ez kontua. Bereizketa horrek aurrean duen edozein geruza-kopururi eusten dio. Irteerak aldatzeak ez du inoiz aldatzen saioa hasitako sesio batek agerian uzten duena. Zerbitzuak bazekien nor zinen lehen paketea irten aurretik.
Ezarpen honetan ezer ez da hausten bigarren tunel bat gehituta. Aldatzen dena behatzaile batek lehen jauzia ikusten duen ala ez da, ez azken jauzia zifratuta dagoen.
Ordenak behatzaileak aldatzen ditu, ez amaiera-puntua
VPN bat eta Tor elkarrekatzea sare-mailan nork zer ikusten duen aldatzeko bide legitimo bat da. Tor VPN baten gainean exekutatzeak zure sarbide-saretik ezkutatzen du Tor erabiltzen duzun egitatea, eta VPN bat Torren gainean exekutatzeak zure helbidea VPN hornitzailetik ezkutatzen du. Bi ordenak dokumentazio publikoan deskribatzen dira eta biek konpromisoak dituzte errendimenduan eta hutsegite-jokabidean.
Ordena batek ere ez du TLS amaiera-puntua mugitzen. Bi kasuetan nabigatzaileak eskatutako ostalari-izenaren ziurtagiria baliozkotzen du oraindik, eta bi kasuetan HTTP helbide batek edukia argi bidaltzen du oraindik azken errelearen ondoren. Konposizioak behatzaileen zerrenda aldatzen du; ez du aldatzen helmugako geruza-kopurua.
Horregatik, elkarrekatzeri buruzko aholkuak mehatxu-ereduei buruzkoak izan ohi dira, ez segurtasunari buruzkoak oro har. Kate luzeagoa ez da gauza beraren bertsio sendoagoa, eta ez da aplikazioak aukeratutako protokoloaren ordezko.
curl -sSI https://example.net | head -3
openssl s_client -connect example.net:443 -servername example.net -briefBi komandoek helmugan garrantzitsua den geruza erakusten dute. Bigarrenak negoziatutako protokoloa inprimatzen du tunelik sartu gabe. Batak ere ez dizu ezer esaten erabili zenuen irteerari buruz.
Mantendu baliozkotzea lanean arazoak bilatzen dituzun bitartean
Ziurtagiri-abisu bat egiteko zoazen konexioari buruzko informazioa da. Ostalari-izenaren desadostasuna, erloju-arazo bat, konfiantzazko kate bat edo atzemate-saio bat esan nahi lezake. VPN bat konektatuta dagoelako salbuespen iraunkor bat gehitzeak kasu horiek bereiziko zituen seinale bakarra kentzen du.
Tor Browserren konexio seguruko eginbideek eta haren abisuek arrazoi beragatik existitzen dira, eta orri bat kargatzeko desgaitzeak huts egite nabarmena ikusezin batengatik trukatzen du. Gune batera salbuespenik gabe iristerik ez badago, ondorio zintzoa da konexioa egiaztagarria ez dela, ez tunelak seguru bihurtu duenik.
Zifratzeak ez du ezer esaten asmoari buruz ere. Gune iruzurti baterako HTTPS konexio baliozkoa zure datuak gune horri konfidentzialtasun osoz ematen dizkio. Egiaztatu helbidea eta bidaltzen duzuna, ez bakarrik sarrailoa dagoen.
Onion zerbitzuak benetan modelo desberdin bat dira. Tor sarearen bidez iristen zaie ohiko irteera publiko bat gabe, eta hori ez da Tor bidez webgune publiko batera sartzearen berdina. Antzeman horri bere itxaropenak dituen kasu aparte gisa, ez bisita beraren bertsio sendoago gisa.
Edozein konfiguraziotatik bizirik ateratzen den araua laburra da. Mantendu nabigatzailearen baliozkotzea osorik. Epaitu geruza bakoitza benetan amaitzen den tokiaren arabera.