למה HTTPS עדיין חשוב אחרי שתסתיים מנהרת ה-VPN

מחוון VPN ירוק, תחושה של פרטיות, ואז הדפדפן מציג אזהרת תעודה באתר הבנק. שום דבר באזהרה הזו לא משתפר בגלל המנהרה. VPN מגן על הנתיב מהמכשיר שלך לשרת שלו עצמו; HTTPS מגן על הבקשה מהדפדפן שלך לנקודת הקצה TLS של האתר. הם מכסים קטעים שונים של המסע, ואחד לא מחליף את השני.

שתי מנהרות עם שני קצוות שונים

מנהרת ה-VPN מסתיימת בשרת ה-VPN. מעבר לנקודה הזו, התעבורה שלך ממשיכה באינטרנט הרגיל אל היעד. מפעיל ה-VPN רואה את מטא-הנתונים של החיבור למרות שאינו יכול לקרוא את התוכן.

HTTPS מתחיל בדפדפן שלך ומסתיים בנקודת הקצה TLS של האתר. לא אכפת לו איך החבילה הגיעה לשרת, והוא לא תלוי בנוכחות של VPN.

לכן שתי ההגנות משלימות זו את זו במקום להתחרות. ה-VPN מסתיר את הבקשה מהרשת המקומית ומספק האינטרנט שלך עד ליציאה שלו. HTTPS מסתיר אותה מכל צופה אחרי היציאה הזו, כולל מספק ה-VPN עצמו. אף אחד מהם לא מכסה את הפער של האחר. מי שמבין זאת מפסיק לשאול איזה מהם מספיק.

טופס HTTP רגיל נשאר רגיל אחרי היציאה

אתר ישן שמקבל טופס דרך HTTP אינו מוגן מעבר לשרת ה-VPN. המנהרה נושאת את הטופס עד ליציאה, ושאר המסלול נושא אותו בגלוי.

השתמש בגרסת ה-HTTPS האמיתית או בערוץ רשמי אחר לכל דבר רגיש.

מחוון מחובר לא משנה את ההובלה של היישום. מצב HTTPS בלבד של הדפדפן יכול לעזור למנוע נפילה מקרית, אבל הוא לא יכול לתקן אתר שמעולם לא הציע TLS.

אזהרת תעודה לא נרפאת על ידי VPN

שם מארח שגוי, תעודה שפגה, שעון מכשיר עקום או יירוט יכולים כולם לגרום לכשל אימות. ה-VPN לא הופך אף אחד מהם לבלתי מזיק.

בדוק את הכתובת המדויקת ואת שעון המערכת לפני כל דבר אחר.

אם מעורב דף כניסה לרשת, השתמש בזרימת פורטל הלכידה הרגילה של הפלטפורמה. אל תיתן פטור קבוע לאתר חשבון לא קשור מפני שרשת מלון ביקשה זאת ממך.

במכשיר מנוהל, שאל אם מותקנת תעודת בדיקה. זה משנה את סדר האמון הרגיל ומגיע לו הסבר מפורש ולא משיכת כתפיים. שאל לשם מה התעודה ולמי היא שייכת.

הצפנה לא עוצרת מעקב

הסשן נושא קוקיז, התחברויות ונתוני טפסים לאתר בדיוק כמתוכנן. עוקב יכול לרכוב גם על חיבור מוצפן, ורובם עושים זאת.

VPN משנה את המסלול ואת כתובת היציאה הנראית. הוא לא משנה את הזהות שאתה מספק דרך חשבון, והוא לא מוחק את הקוקי שעוקב אחריך בין אתרים.

שמור על הגנות הדפדפן שאתה כבר משתמש בהן. ה-VPN הוא תוספת להן, לא תחליף.

בדוק את הכתובת, לא את המחוון

אמת את שם המארח בשורת הכתובת ואת התעודה שהאתר מציג. המנעול אומר שהחיבור מוצפן עד לנקודת קצה כלשהי; הוא לא אומר שנקודת הקצה היא זו שהתכוונת אליה.

שתי פקודות מציגות את התעודה ואת שרשרת ההפניות:

curl -sSI https://bank.example/ | head -5
openssl s_client -connect bank.example:443 -servername bank.example < /dev/null 2>/dev/null | openssl x509 -noout -subject -dates

אם התעודה מציינת מארח אחר, עצור. אם השעון שגוי, תקן אותו לפני ניסיון חוזר. אם הפניה שולחת אותך ל-HTTP פשוט, התייחס לזה ככשל של האתר ולא כסיבה לבטל את האימות. אזהרת הדפדפן קיימת מפני שהחלופה היא לנחש איזו נקודת קצה קיבלה את הסיסמה שלך.