מה המנהרה מצפינה ומה נשאר קריא

המנהרה שלך פעילה, לשונית אחת מציגה מנעול ירוק, ועמוד HTTP פשוט בלשונית אחרת עדיין מזהיר שהחיבור אינו מאובטח. השילוב הזה מבלבל אנשים כי שתי ההגנות מכסות מרחקים שונים. VPN מגן על תעבורה בין נקודות הקצה שלו, ומעבר ליציאה התעבורה שוב רגילה. HTTPS מגן על חיבור אחד עד לאתר. הצבת שתי העובדות האלה זו לצד זו מסבירה את רוב השאלות על מה VPN באמת מסתיר.

מה המנהרה באמת מכסה

בין הלקוח לעמית ה-VPN, צופה רואה בייטים מוצפנים ולא בקשה קריאה. זה מכסה את הקטע שהמנהרה חוצה, שבדרך כלל הוא החלק שאינך שולט בו. זה לא מגיע לחוליה שבין יציאת ה-VPN לאתר, כי המנהרה הסתיימה ביציאה. הבייטים קריאים שוב מרגע שהמנהרה מסתיימת. אין בזה שום תצורה שגויה.

היציאה היא מכונה שמפענחת ומעבירה הלאה, וזה בדיוק למה VPN נועד. כל מה שהיא מעבירה הלאה גלוי לה בצורה שבה קיבלה אותו, ולכן בקשת HTTP פשוטה נשארת טקסט פשוט מהיציאה והלאה.

קראו את זה כתכונה ולא כפגם. ההצפנה מוגבלת לנתיב, והנתיב מסתיים במקום שבו השירות מתחיל.

מפתחות, nonces ושלמות במילים פשוטות

תעבורה שוטפת מוגנת בקריפטוגרפיה סימטרית, ושתי הקצוות גוזרות או מקבלות את חומר המפתח במהלך לחיצת היד. הצפנה מאומתת, המתוארת באופן כללי ב-RFC 5116, נותנת סודיות ושלמות במבנה אחד. המקלט דוחה בייטים ששונו במקום רק להיכשל בקריאתם, וזה החלק שאנשים שוכחים כשהם חושבים שהצפנה פירושה ערבוב.

המפתחות מגיעים מאותו חילוף, לא מהסיסמה שהוקלדה בכניסה. הסיסמה מאמתת זהות, ואז הפרוטוקול קובע חומר הפעלה. חילוף מפתחות ארעי הוא שנותן סודיות קדימה, ולכן הפעלה מוקלטת נשארת בלתי קריאה גם אם מפתח ארוך טווח ידלוף מאוחר יותר.

מספר גדול במפרט לא עונה על אף אחת מהשאלות האלה, והשוואת מספרים בין אלגוריתמים לא קשורים אינה דירוג. שאלו במקום זאת מה חילוף המפתחות מספק.

היכן המנהרה מסתיימת

נקודת הקצה שמסיימת את המנהרה יכולה לקרוא את מה שהיא מעבירה הלאה. זה נכון באותה מידה לשער ארגוני, לספק מסחרי ולשרת המתארח בעצמו. זהו התכנון, לא פגם בו. קריפטוגרפיה חזקה אינה יכולה למנוע מנקודת קצה שנפרצה לקרוא טקסט פשוט שמגיע אליה, כי נקודת הקצה היא המקום שבו ההגנה נעצרת.

HTTPS ממשיך מעבר לנקודה הזו, ולכן אתר יכול להיות בטוח ברשת עוינת גם בלי VPN. שתי ההגנות חופפות בקטע הראשון ורק אחת מהן ממשיכה אחרי היציאה.

זו גם הסיבה לכך שהחלשת אימות התעודה כדי שחיבור יעבוד אינה בדיקה של המנהרה. היא מכבה הגנה אחרת ומשאירה אותך עם פחות ממה שהתחלת איתו.

למה אנונימיות היא מוצר אחר

כתובות, תזמון ונפח נשארים ניתנים לצפייה מחוץ למנהרה. צופה יכול לראות שתעבורה זורמת אל נקודת קצה של VPN, בערך כמה ומתי. התוכן עשוי להיות בלתי קריא בעוד שהתבנית עדיין מלמדת.

הספק גם יושב במקום שונה מהרשת שלך, וזהו שינוי צופה ולא הסרת צפייה. קובצי cookie, כניסות ומזהי חשבון ממשיכים לעבוד בדיוק כמו קודם, כי המנהרה מעולם לא הבטיחה לשנות אותם.

בחרו ספק לפי מדיניות התיעוד ותחום השיפוט שלו אם זו הדרישה, ואז קראו את המדיניות עצמה. דפי שיווק ממעטים לענות על השאלה הזו באופן שמישהו יכול לבקר.

בדקו את המנהרה ואת האתר בנפרד

אמתו תחילה את המנהרה, כדי שתדעו איזו הגנה אתם בודקים. אחר כך אמתו את התעבורה של האתר עצמו, והשוו בין שתי התוצאות במקום להניח שאחת מרמזת על השנייה. מנהרה שנושאת HTTP פשוט ואתר שמגיש HTTPS עושים שניהם בדיוק את מה שהוגדרו לעשות.

הריצו את הבדיקות מול מארח שמותר לכם לבדוק, וקראו את הפלט ולא את הסיכום.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

כשהמנהרה פעילה והאתר ב-HTTPS, יש לכם שתי הגנות בקטע הראשון ואחת בשני. כשהאתר ב-HTTP פשוט, הקטע השני קריא לכל מי שנמצא בו, כולל היציאה שהעבירה את הבקשה. לדעת איזו מהשתיים חסרה זו כל האבחנה, וזה דורש שתי פקודות ולא לקוח חדש.