تونل چه چیزی را رمزنگاری می‌کند و چه چیزی را خوانا می‌گذارد

تونل شما فعال است، یک زبانه قفل سبز نشان می‌دهد و یک صفحه HTTP ساده در زبانه دیگر همچنان هشدار می‌دهد که اتصال امن نیست. این ترکیب مردم را گیج می‌کند، چون دو محافظت مسافتهای متفاوتی را پوشش می‌دهند. یک VPN ترافیک میان دو نقطه پایانی خودش را محافظت می‌کند و پس از خروج، ترافیک دوباره عادی می‌شود. HTTPS یک اتصال را تا خود وبسایت محافظت می‌کند. کنار هم گذاشتن این دو واقعیت بیشتر پرسشها درباره آنچه VPN واقعاً پنهان می‌کند را توضیح می‌دهد.

تونل در واقع چه چیزی را پوشش می‌دهد

میان کارخواه و همتای VPN، ناظر بایتهای رمزنگاری‌شده می‌بیند نه درخواستی خوانا. این بخشی را پوشش می‌دهد که تونل از آن می‌گذرد و معمولاً همان بخشی است که شما کنترلش نمی‌کنید. به پیوند میان خروجی VPN و وبسایت نمی‌رسد، چون تونل در خروجی پایان یافته است. بایت‌ها از لحظه‌ای که تونل پایان می‌یابد دوباره خوانا می‌شوند. هیچ‌یک از اینها پیکربندی نادرست نیست.

خروجی ماشینی است که رمزگشایی و ارسال می‌کند و VPN دقیقاً برای همین است. هر چیزی که ارسال می‌کند به همان شکلی که دریافت کرده برایش دیدنی است، بنابراین یک درخواست HTTP ساده از خروجی به بعد متن ساده می‌ماند.

این را ویژگی بخوانید نه ایراد. رمزنگاری به یک مسیر محدود است و مسیر همان‌جا پایان می‌یابد که خدمت آغاز می‌شود.

کلیدها، nonceها و یکپارچگی با زبان ساده

ترافیک جاری با رمزنگاری متقارن محافظت می‌شود و دو طرف در هنگام دست‌دادن ماده کلید را استخراج یا دریافت می‌کنند. رمزنگاری معتبرشده که RFC 5116 آن را به‌طور کلی توصیف می‌کند، محرمانگی و یکپارچگی را در یک ساختار می‌دهد. گیرنده بایت‌های تغییریافته را رد می‌کند نه اینکه فقط نتواند بخواندشان، و همین بخشی است که مردم فراموش می‌کنند وقتی فکر می‌کنند رمزنگاری یعنی به‌هم‌ریختن.

کلیدها از همان تبادل می‌آیند، نه از گذرواژه‌ای که هنگام ورود تایپ می‌شود. گذرواژه هویتی را احراز می‌کند و سپس پروتکل ماده نشست را برقرار می‌کند. تبادل کلید گذرا همان چیزی است که محرمانگی رو به جلو می‌دهد، پس نشستی که ضبط شده حتی اگر بعداً کلید بلندمدت افشا شود ناخوانا می‌ماند.

یک عدد بزرگ در یک مشخصات به هیچ‌یک از این پرسش‌ها پاسخ نمی‌دهد و مقایسه عددها میان الگوریتم‌های بی‌ربط رتبه‌بندی نیست. به‌جایش بپرسید تبادل کلید چه چیزی فراهم می‌کند.

تونل کجا پایان می‌یابد

نقطه پایانی که تونل را پایان می‌دهد می‌تواند آنچه را ارسال می‌کند بخواند. این برای دروازه سازمانی، ارائه‌دهنده تجاری و سرور خودمیزبان یکسان است. این طراحی است نه ایرادی در آن. رمزنگاری قوی نمی‌تواند مانع شود که یک نقطه پایانی آلوده متن ساده‌ای را که به آن می‌رسد بخواند، چون نقطه پایانی همان جایی است که محافظت متوقف می‌شود.

HTTPS از آن نقطه فراتر می‌رود، و به همین دلیل یک وبسایت می‌تواند حتی بدون VPN در شبکه‌ای خصمانه امن باشد. دو محافظت در بخش نخست هم‌پوشانی دارند و فقط یکی از آنها پس از خروجی ادامه می‌یابد.

به همین دلیل هم ضعیف‌کردن بررسی گواهی برای اینکه اتصال کار کند آزمون تونل نیست. محافظت دیگری را خاموش می‌کند و شما را با کمتر از آنچه شروع کردید رها می‌کند.

چرا ناشناسی محصول دیگری است

نشانی‌ها، زمان‌بندی و حجم بیرون از تونل قابل مشاهده می‌مانند. ناظر می‌تواند ببیند که ترافیکی به سوی یک نقطه پایانی VPN جریان دارد، تقریباً چه اندازه و چه زمانی. ممکن است محتوا ناخوانا باشد در حالی که الگو هنوز آگاهی‌بخش است.

ارائه‌دهنده هم جایی متفاوت از شبکه شما نشسته است، و این تغییر ناظر است نه حذف مشاهده. کوکی‌ها، ورودها و شناسه‌های حساب دقیقاً مثل قبل کار می‌کنند، چون تونل هرگز وعده نداده بود که آنها را تغییر دهد.

اگر این شرط است، ارائه‌دهنده را بر پایه سیاست ثبت گزارش و حوزه قضایی‌اش انتخاب کنید و سپس خود سیاست را بخوانید. صفحه‌های بازاریابی به‌ندرت به این پرسش چنان پاسخ می‌دهند که کسی بتواند بررسی‌اش کند.

تونل و وبسایت را جداگانه بررسی کنید

نخست تونل را بررسی کنید تا بدانید کدام محافظت را می‌آزمایید. سپس انتقال خود وبسایت را بررسی کنید و دو نتیجه را مقایسه کنید به‌جای آنکه فرض کنید یکی به معنای دیگری است. تونلی که HTTP ساده را حمل می‌کند و وبسایتی که HTTPS ارائه می‌دهد هر دو دقیقاً همان کاری را می‌کنند که برایش پیکربندی شده‌اند.

بررسی‌ها را روی میزبان‌هایی اجرا کنید که اجازه آزمودنشان را دارید و خروجی را بخوانید نه خلاصه را.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

وقتی تونل فعال است و وبسایت HTTPS است، در بخش نخست دو محافظت و در بخش دوم یکی دارید. وقتی وبسایت HTTP ساده است، بخش دوم برای هر کسی که در آن باشد خواناست، از جمله خروجی که درخواست را ارسال کرده. دانستن اینکه کدام‌یک از این دو کم است تمام تشخیص است و به دو فرمان نیاز دارد نه یک کارخواه تازه.