VPN en Tor ferfange gjin HTTPS: wêr't elke laach einiget
In tunnel einiget by syn eigen partner en in Tor-sirkwy einiget by in útgong-relay. Allinnich HTTPS berikt de side, dus in gewoan formulier bliuwt lêsber.
In VPN en in Tor-sirkwy fersiferje beide jo ferkear foar in part fan 'e reis. Beide hâlde op mei fersiferjen by in partner dy't se sels kieze. HTTPS is de laach dy't de website sels berikt, en gjin hoemannichte tunneljen dêrfoar makket in gewoane formulierynstjoering ta in beskerme ien. Elke laach folgje oant it punt wêr't dy einiget, makket dat dúdlik.
Trije lagen, trije ferskillende einpunten
In konvinsjonele VPN einiget syn tunnel by de VPN-tsjinner. Alles tusken jo apparaat en dy tsjinner sit yn 'e tunnel, en alles dêrnei net. In Tor-sirkwy docht itselde mei in oare partner, en ferlitt it netwurk by in útgong-relay dy't jo fersyk nei de bestimming trochstjoert.
TLS einiget by de website. It sertifikaat dat jo falidearre hawwe, bynt in hostnamme oan in kaai dy't de side kontrolearret, en de sesjekaaien besteane tusken jo browser en dy tsjinner. Dat einpunt leit foarby sawol de VPN-tsjinner as de Tor-útgong.
Sa hawwe de trije lagen trije ferskillende fertrouwensgrinzen, en in fersyk giet efterinoar troch allegear. Ien fersterkje seit neat oer de oaren, en de lêste is de iennichste dêr't de bestimming oan meidocht.
Wat de lêste sprong bleatleit
As de applikaasje gewoan HTTP brûkt, is de ynhâld foarby de útgong lêsber foar elkenien dy't dy sprong betsjinnet. De eardere tunnel die syn wurk perfekt en is gewoan net mear oanwêzich. Oanmeldgegevens dy't yn in HTTP-formulier typt wurde, lizze bleat krekt op it punt wêr't de beskerming einige.
| Layer | Terminates at | Who can read the request there |
|---|---|---|
| VPN tunnel | The VPN server you selected | The operator of that server, and anyone who can compel them |
| Tor circuit | An exit relay chosen by the network | The exit relay operator, for traffic that is not otherwise protected |
| HTTPS | The website's own TLS endpoint | The site itself, and no intermediary on the path |
Mei korrekt falidearre HTTPS kin in tuskenpersoan op 'e wei de ynhâld fan 'e applikaasje net lêze of stil feroarje. Hy sjocht noch wol dat jo ferbûn binne, wannear en nei hokker adres, om't de pakketkoppen rûtber wêze moatte. Fertroulikens fan ynhâld en metadata oer de ferbining binne ferskillende eigenskippen, en allinnich it earste is wat TLS jout.
Accountidentiteit is wer in tredde ding. Oanmelde by in account identifisearret jo by dy tsjinst itsij hokker útgongadres jo brûkt hawwe, dus de útgong beskermet it netwurkpaad en net it account. Dat ûnderskie oerlibbet elk oantal lagen dêrfoar. It feroarjen fan útgongen feroaret nea wat in oanmeld sesje bleatleit. De tsjinst wist wa't jo wiene foardat it earste pakket fuortgie.
Neat yn dizze regeling brekt troch in twadde tunnel ta te foegjen. Wat feroaret is hokker waarnimmer de earste sprong sjocht, net oft de lêste sprong fersifere is.
Oarder feroaret de waarnimmers, net it einpunt
In VPN en Tor keatlingje is in legitime manier om te feroarjen wa't op netwurknivo wat sjocht. Tor oer in VPN rinne litte ferberget foar jo tagongsnetwurk it feit dat jo Tor brûke, wylst in VPN oer Tor jo adres foar de VPN-oanbieder ferberget. Beide oarders binne beskreaun yn iepenbiere dokumintaasje en beide hawwe kompromissen yn prestaasjes en fylgedrach.
Gjin fan beide oarders ferpleatst it TLS-einpunt. Yn beide gefallen falidearret de browser noch in sertifikaat foar de hostnamme dy't er oanfrege hat, en yn beide gefallen stjoert in HTTP-adres syn ynhâld noch iepen efter de lêste relay. De gearstalling feroaret de waarnimmerslist; it feroaret net it oantal lagen by de bestimming.
Dêrom giet advys oer keatlingjen meast oer bedrigingsmodellen en net oer feiligens yn 't algemien. In langer keatling is gjin sterker ferzje fan itselde, en it ferfangt it protokol net dat de applikaasje keazen hat.
curl -sSI https://example.net | head -3
openssl s_client -connect example.net:443 -servername example.net -briefBeide kommando's litte de laach sjen dy't by de bestimming fan belang is. It twadde prints it úthannele protokol sûnder in tunnel te belûken. Gjin fan beide fertelt jo wat oer de útgong dy't jo brûkten.
Hâld falidaasje wurkjend wylst jo problemen sykje
In sertifikaatwarskôging is ynformaasje oer de ferbining dy't jo op it punt steane te meitsjen. It kin in ôfwiking yn 'e hostnamme, in klokprobleem, in net-fertroude keatling of in besykjen ta ûnderskepping betsjutte. In permaninte útsûndering tafoegje om't in VPN ferbûn is, hellet it iennichste sinjaal fuort dat dy gefallen ûnderskiede hie.
De funksjes foar feilige ferbining fan Tor Browser en syn warskôgingen besteane om deselde reden, en se útskeakelje om in side laden te litten ruilet in sichtber mislearjen foar in ûnsichtber. As in side net berikt wurde kin sûnder útsûndering, is de earlike konklúzje dat de ferbining net te ferifiearjen is, net dat de tunnel it feilich makke hat.
Fersifering seit ek neat oer bedoeling. In jildige HTTPS-ferbining nei in misliedende side leveret jo gegevens mei folsleine fertroulikens by dy side ôf. Kontrolearje it adres en wat jo yntsjinje, net allinnich oft it slot oanwêzich is.
Onion-tsjinsten binne in wier oar model. Se wurde berikt fia it Tor-netwurk sûnder in gewoane iepenbiere útgong, wat net itselde is as tagong ta in iepenbiere side fia Tor. Behannelje dat as in apart gefal mei syn eigen ferwachtings en net as in sterker ferzje fan itselde besyk.
De regel dy't elke konfiguraasje oerlibbet is koart. Hâld de browserfalidaasje yntakt. Beoardielje elke laach nei wêr't dy eins einiget.