چرا HTTPS پس از پایان تونل VPN هنوز اهمیت دارد

نشانگر سبز VPN، حس حریم خصوصی، و بعد مرورگر هشدار گواهی در سایت بانک نشان می‌دهد. هیچ چیز در آن هشدار به‌خاطر تونل بهتر نمی‌شود. VPN مسیر از دستگاه شما تا سرور خودش را محافظت می‌کند؛ HTTPS درخواست از مرورگر شما تا نقطه پایانی TLS وب‌سایت را محافظت می‌کند. آن‌ها بخش‌های متفاوتی از مسیر را پوشش می‌دهند و یکی جای دیگری را نمی‌گیرد.

دو تونل با دو انتهای متفاوت

تونل VPN در سرور VPN تمام می‌شود. پس از آن نقطه، ترافیک شما در اینترنت معمولی به سوی مقصد ادامه می‌یابد. اپراتور VPN فراداده‌های اتصال را می‌بیند، هرچند نمی‌تواند محتوا را بخواند.

HTTPS در مرورگر شما آغاز می‌شود و در نقطه پایانی TLS وب‌سایت پایان می‌یابد. برایش مهم نیست بسته چگونه به سرور رسیده و به وجود VPN وابسته نیست.

به همین دلیل این دو محافظت به جای رقابت، مکمل یکدیگرند. VPN درخواست را از شبکه محلی و از ارائه‌دهنده اینترنت شما تا خروجی خودش پنهان می‌کند. HTTPS آن را از هر ناظری پس از آن خروجی پنهان می‌کند، از جمله از خود ارائه‌دهنده VPN. هیچ‌کدام شکاف دیگری را پر نمی‌کند. کسی که این را بفهمد دست از پرسیدن این که کدام کافی است برمی‌دارد.

یک فرم HTTP ساده پس از خروجی هم ساده می‌ماند

سایت قدیمی‌تری که فرم را از طریق HTTP می‌پذیرد، پس از سرور VPN محافظت نشده است. تونل فرم را تا خروجی می‌برد و بقیه مسیر آن را آشکار می‌برد.

برای هر چیز حساس از نسخه واقعی HTTPS یا کانال رسمی دیگری استفاده کنید.

نشانگر متصل، شیوه انتقال برنامه را تغییر نمی‌دهد. حالت فقط HTTPS مرورگر می‌تواند به پیشگیری از بازگشت ناخواسته کمک کند، اما نمی‌تواند سایتی را که هرگز TLS ارائه نکرده درست کند.

هشدار گواهی با VPN درمان نمی‌شود

نام میزبان نادرست، گواهی منقضی، ساعت کج دستگاه یا شنود می‌توانند باعث شکست اعتبارسنجی شوند. VPN هیچ‌یک از آن‌ها را بی‌خطر نمی‌کند.

پیش از هر چیز نشانی دقیق و ساعت سیستم را بررسی کنید.

اگر صفحه ورود به شبکه دخیل است، از جریان عادی درگاه اسیر پلتفرم استفاده کنید. به سایتی نامرتبط با حساب خود به این دلیل که شبکه یک هتل از شما خواسته، استثنای دائمی ندهید.

روی دستگاهی مدیریت‌شده بپرسید آیا گواهی بازرسی نصب شده است. این ترتیب اعتماد معمول را تغییر می‌دهد و به جای بالا انداختن شانه، توضیح مشخصی می‌طلبد. درباره هدف گواهی و اینکه مالک آن کیست بپرسید.

رمزنگاری ردیابی را متوقف نمی‌کند

نشست کوکی‌ها، ورودها و داده‌های فرم را دقیقاً همان‌طور که مقصود است به سایت می‌برد. ردیاب هم می‌تواند سوار اتصال رمزنگاری‌شده شود، و بیشترشان می‌شوند.

VPN مسیر و نشانی خروج ظاهری را تغییر می‌دهد. هویتی را که از طریق حساب ارائه می‌دهید تغییر نمی‌دهد و کوکی‌ای را که میان سایت‌ها دنبالتان می‌کند پاک نمی‌کند.

محافظت‌های مرورگری را که هم‌اکنون استفاده می‌کنید نگه دارید. VPN افزوده‌ای بر آن‌هاست، نه جایگزینی.

نشانی را بررسی کنید، نه نشانگر را

نام میزبان در نوار نشانی و گواهی‌ای را که سایت ارائه می‌دهد بررسی کنید. قفل یعنی اتصال تا نقطه‌ای رمزنگاری شده است؛ این به معنای آن نیست که آن نقطه همان نقطه‌ای است که در نظر داشتید.

دو فرمان گواهی و زنجیره تغییر مسیر را نشان می‌دهند:

curl -sSI https://bank.example/ | head -5
openssl s_client -connect bank.example:443 -servername bank.example < /dev/null 2>/dev/null | openssl x509 -noout -subject -dates

اگر گواهی میزبان دیگری را نام برد، متوقف شوید. اگر ساعت اشتباه است، پیش از تلاش دوباره آن را درست کنید. اگر تغییر مسیر شما را به HTTP ساده فرستاد، آن را شکست سایت بدانید نه دلیلی برای خاموش کردن اعتبارسنجی. هشدار مرورگر وجود دارد چون جایگزین آن حدس زدن این است که کدام نقطه گذرواژه شما را دریافت کرده است.