Que cifra o túnel e que deixa lexible

O teu túnel está activo, unha pestana mostra un candado verde e unha páxina HTTP simple noutra pestana segue avisando de que a conexión non é segura. Esa combinación confunde a xente porque as dúas proteccións cobren distancias distintas. Unha VPN protexe o tráfico entre os seus propios extremos, e máis aló da saída o tráfico volve ser ordinario. HTTPS protexe unha conexión ata o sitio web. Poñer eses dous feitos un ao lado do outro explica a maioría das preguntas sobre que oculta realmente unha VPN.

Que cobre realmente o túnel

Entre o cliente e o par da VPN, un observador ve bytes cifrados en lugar dunha petición lexible. Iso cobre o tramo que cruza o túnel, que adoita ser a parte que non controlas. Non chega á ligazón entre a saída da VPN e o sitio web, porque o túnel rematou na saída. Os bytes volven ser lexibles desde o momento en que o túnel remata. Nada diso é unha configuración incorrecta.

A saída é unha máquina que descifra e reenvía, que é exactamente para o que serve unha VPN. Todo o que reenvía é visible para ela na forma en que o recibiu, así que unha petición HTTP simple segue sendo texto plano desde a saída en diante.

Léoo como unha propiedade e non como un defecto. O cifrado limítase a un camiño, e o camiño remata onde comeza o servizo.

Claves, nonces e integridade en palabras claras

O tráfico en curso protéxese con criptografía simétrica, e ambos os extremos derivan ou obteñen o material de clave durante o saludo. O cifrado autenticado, descrito en termos xerais polo RFC 5116, ofrece confidencialidade e integridade nunha soa construción. O receptor rexeita os bytes modificados en lugar de simplemente non poder lelos, e esa é a parte que a xente esquece cando pensa que cifrar significa remexer.

As claves veñen dese intercambio, non do contrasinal escrito ao iniciar sesión. O contrasinal autentica unha identidade, e despois o protocolo establece o material de sesión. O intercambio efémero de claves é o que dá segredo cara adiante, así que unha sesión gravada segue sendo ilexible aínda que unha clave de longo prazo se filtre despois.

Un número grande nunha especificación non responde a ningunha desas preguntas, e comparar números entre algoritmos non relacionados non é unha clasificación. Pregunta máis ben que achega o intercambio de claves.

Onde remata o túnel

O extremo que remata o túnel pode ler o que reenvía. Iso vale igual para unha pasarela corporativa, un provedor comercial e un servidor autoaloxado. É o deseño, non un defecto. A criptografía forte non pode impedir que un extremo comprometido lea o texto plano que lle chega, porque o extremo é onde se detén a protección.

HTTPS continúa máis aló dese punto, e por iso un sitio pode ser seguro nunha rede hostil mesmo sen VPN. As dúas proteccións solápanse no primeiro tramo e só unha continúa despois da saída.

Por iso mesmo, debilitar a verificación do certificado para que funcione unha conexión non é unha proba do túnel. Desactiva outra protección e déixache con menos do que tiñas ao principio.

Por que o anonimato é outro produto

Os enderezos, o tempo e o volume seguen sendo observables fóra do túnel. Un observador pode ver que o tráfico flúe cara a un extremo de VPN, canto aproximadamente e cando. O contido pode ser ilexible mentres o patrón aínda informa.

O provedor tamén está nun lugar distinto da túa propia rede, o que é un cambio de observador e non unha eliminación da observación. As cookies, os inicios de sesión e os identificadores de conta funcionan exactamente como antes, porque o túnel nunca prometeu alteralos.

Escolle un provedor pola súa política de rexistro e a súa xurisdición se ese é o requisito, e despois le a política mesma. As páxinas de márketing raramente responden a esa pregunta de xeito que alguén poida auditar.

Comproba o túnel e o sitio por separado

Verifica primeiro o túnel, para saber que protección estás probando. Despois verifica o transporte propio do sitio e compara os dous resultados en vez de supoñer que un implica o outro. Un túnel que transporta HTTP simple e un sitio que serve HTTPS fan exactamente o que se configurou para que fixeran.

Executa as comprobacións contra unha máquina que teñas permiso para probar e le a saída, non o resumo.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

Cando o túnel está activo e o sitio é HTTPS, tes dúas proteccións no primeiro tramo e unha no segundo. Cando o sitio é HTTP simple, o segundo tramo é lexible por calquera que estea nel, incluída a saída que reenviou a petición. Saber cal das dúas falta é todo o diagnóstico, e require dous comandos en lugar dun cliente novo.