Mitä tunneli salaa ja mitä se jättää luettavaksi

Tunnelisi on päällä, yksi välilehti näyttää vihreää lukkoa ja toisen välilehden tavallinen HTTP-sivu varoittaa yhä, ettei yhteys ole turvallinen. Tämä yhdistelmä hämmentää ihmisiä, koska kaksi suojausta kattavat eri matkoja. VPN suojaa liikennettä omien päätepisteidensä välillä, ja poistumisen jälkeen liikenne on taas tavallista. HTTPS suojaa yhden yhteyden aina verkkosivustolle asti. Kun nämä kaksi tosiasiaa asetetaan rinnalle, se selittää suurimman osan kysymyksistä siitä, mitä VPN oikein kätkee.

Mitä tunneli tosiasiassa kattaa

Asiakkaan ja VPN-kumppanin välillä tarkkailija näkee salattuja tavuja eikä luettavaa pyyntöä. Tämä kattaa sen osuuden, jonka tunneli ylittää, ja se on yleensä se osa, jota et hallitse. Se ei ulotu VPN-poistumisen ja verkkosivuston väliseen linkkiin, koska tunneli päättyi poistumisessa. Tavut ovat taas luettavissa siitä hetkestä, kun tunneli päättyy. Mikään siinä ei ole väärä kokoonpano.

Poistuminen on kone, joka purkaa salauksen ja välittää eteenpäin, ja juuri sitä varten VPN on. Kaikki, mitä se välittää, on sille näkyvissä siinä muodossa, jossa se vastaanotettiin, joten tavallinen HTTP-pyyntö pysyy selkokielisenä poistumisesta eteenpäin.

Lue tämä ominaisuutena, ei vikana. Salaus on rajattu polkuun, ja polku päättyy sinne, mistä palvelu alkaa.

Avaimet, noncet ja eheys yksinkertaisesti

Käynnissä oleva liikenne suojataan symmetrisellä salauksella, ja molemmat päät johtavat tai hankkivat avainmateriaalin kättelyn aikana. Todennettu salaus, jota RFC 5116 kuvaa yleisesti, antaa luottamuksellisuuden ja eheyden yhdessä rakenteessa. Vastaanottaja hylkää muutetut tavut sen sijaan, että se vain epäonnistuisi lukemaan niitä, ja juuri tämän ihmiset unohtavat luullessaan salauksen tarkoittavan sekoittamista.

Avaimet tulevat tuosta vaihdosta, eivät kirjautumisessa kirjoitetusta salasanasta. Salasana todentaa henkilöllisyyden, ja sitten protokolla muodostaa istuntomateriaalin. Efemeerinen avainvaihto antaa eteenpäin salaisuuden, joten tallennettu istunto pysyy lukukelvottomana, vaikka pitkäaikainen avain vuotaisi myöhemmin.

Suuri luku määrityksessä ei vastaa yhteenkään noista kysymyksistä, eikä lukujen vertaaminen toisiinsa liittymättömien algoritmien välillä ole sijoituslista. Kysy sen sijaan, mitä avainvaihto tarjoaa.

Mihin tunneli päättyy

Päätepiste, joka lopettaa tunnelin, voi lukea sen, mitä välittää eteenpäin. Tämä pätee yhtä lailla yrityksen yhdyskäytävään, kaupalliseen tarjoajaan ja itse ylläpidettyyn palvelimeen. Se on suunnittelua, ei vika. Vahva salaus ei voi estää vaarantunutta päätepistettä lukemasta selkokielistä tekstiä, joka saapuu sille, koska päätepiste on paikka, jossa suojaus loppuu.

HTTPS jatkuu tuon pisteen ohi, siksi sivusto voi olla turvallinen vihamielisessä verkossa ilman VPN:ääkin. Kaksi suojausta menevät päällekkäin ensimmäisellä osuudella ja vain toinen niistä jatkuu poistumisen jälkeen.

Siksi sertifikaattien vahvistuksen heikentäminen yhteyden toimimiseksi ei ole tunnelin testi. Se kytkee pois toisen suojauksen ja jättää sinut vähemmällä kuin mihin aloit.

Miksi anonymiteetti on eri tuote

Osoitteet, ajoitus ja määrä pysyvät havaittavina tunnelin ulkopuolella. Tarkkailija voi nähdä, että liikennettä virtaa VPN-päätepisteeseen, suunnilleen kuinka paljon ja milloin. Sisältö voi olla lukukelvotonta, vaikka kuvio on yhä informatiivinen.

Tarjoaja sijaitsee myös eri paikassa kuin oma verkkosi, mikä on tarkkailijan vaihtumista eikä tarkkailun poistamista. Evästeet, kirjautumiset ja tilitunnisteet toimivat täsmälleen kuten ennenkin, koska tunneli ei koskaan luvannut muuttaa niitä.

Valitse tarjoaja sen lokituskäytännön ja lainkäyttöalueen perusteella, jos se on vaatimus, ja lue sitten käytäntö itse. Markkinointisivut vastaavat tuohon kysymykseen harvoin niin, että kukaan voisi tarkistaa sen.

Tarkista tunneli ja sivusto erikseen

Tarkista ensin tunneli, jotta tiedät, mitä suojausta testaat. Tarkista sitten sivuston oma siirto ja vertaa kahta tulosta sen sijaan, että olettaisit toisen tarkoittavan toista. Tavallista HTTP:tä kuljettava tunneli ja HTTPS:ää tarjoava sivusto tekevät molemmat täsmälleen sen, mitä varten ne on määritetty.

Aja tarkistukset isäntää vastaan, jonka testaamiseen sinulla on lupa, ja lue tuloste, älä yhteenveto.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

Kun tunneli on päällä ja sivusto on HTTPS, sinulla on kaksi suojausta ensimmäisellä osuudella ja yksi toisella. Kun sivusto on tavallista HTTP:tä, toinen osuus on luettavissa kaikille siinä oleville, mukaan lukien poistuminen, joka välitti pyynnön. Tieto siitä, kumpi kahdesta puuttuu, on koko diagnoosi, ja siihen tarvitaan kaksi komentoa eikä uutta asiakasta.