टनल क्या एन्क्रिप्ट करता है और क्या पढ़ने योग्य छोड़ता है

आपका टनल चालू है, एक टैब हरा ताला दिखाता है, और दूसरे टैब में सादा HTTP पेज अब भी चेतावनी देता है कि कनेक्शन सुरक्षित नहीं है। यह संयोजन लोगों को उलझाता है, क्योंकि दोनों सुरक्षाएँ अलग-अलग दूरियाँ ढकती हैं। VPN अपने ही सिरों के बीच ट्रैफ़िक की रक्षा करता है, और निकास के आगे ट्रैफ़िक फिर सामान्य हो जाता है। HTTPS एक कनेक्शन को वेबसाइट तक सुरक्षित रखता है। इन दो तथ्यों को साथ रखने से VPN असल में क्या छिपाता है, इस पर आधे से ज़्यादा सवालों का जवाब मिल जाता है।

टनल असल में क्या ढकता है

क्लाइंट और VPN सहयोगी के बीच निरीक्षक पढ़ने योग्य अनुरोध की जगह एन्क्रिप्टेड बाइट देखता है। यह उस हिस्से को ढकता है जिससे टनल गुज़रता है, और वह आमतौर पर वही भाग होता है जिस पर आपका नियंत्रण नहीं है। यह VPN निकास और वेबसाइट के बीच की कड़ी तक नहीं पहुँचता, क्योंकि टनल निकास पर ही समाप्त हो गया। टनल समाप्त होने के क्षण से बाइट फिर पढ़ने योग्य हो जाते हैं। इसमें कुछ भी गलत कॉन्फ़िगरेशन नहीं है।

निकास एक ऐसी मशीन है जो डिक्रिप्ट करके आगे भेजती है, और VPN ठीक इसी के लिए है। जो कुछ वह आगे भेजती है वह उसे उसी रूप में दिखता है जिस रूप में मिला था, इसलिए सादा HTTP अनुरोध निकास से आगे सादा पाठ ही रहता है।

इसे कमी नहीं, गुण के रूप में पढ़ें। एन्क्रिप्शन एक मार्ग तक सीमित है, और मार्ग वहीं समाप्त होता है जहाँ सेवा शुरू होती है।

सरल शब्दों में कुंजियाँ, nonce और अखंडता

चालू ट्रैफ़िक सममित क्रिप्टोग्राफ़ी से सुरक्षित रहता है, और दोनों सिरे हैंडशेक के दौरान कुंजी सामग्री निकालते या प्राप्त करते हैं। RFC 5116 में सामान्य रूप से वर्णित प्रमाणित एन्क्रिप्शन एक ही रचना में गोपनीयता और अखंडता देता है। प्राप्तकर्ता बदले हुए बाइट को केवल पढ़ न पाने के बजाय अस्वीकार करता है, और लोग यही भाग भूल जाते हैं जब वे सोचते हैं कि एन्क्रिप्शन का अर्थ उलझाना है।

कुंजियाँ उसी अदला-बदली से आती हैं, लॉगिन पर लिखे पासवर्ड से नहीं। पासवर्ड एक पहचान प्रमाणित करता है, और फिर प्रोटोकॉल सत्र सामग्री स्थापित करता है। क्षणिक कुंजी अदला-बदली ही आगे की गोपनीयता देती है, इसलिए रिकॉर्ड किया गया सत्र बाद में दीर्घकालिक कुंजी लीक होने पर भी अपठनीय रहता है।

किसी विनिर्देश में बड़ी संख्या इन सवालों में से किसी का जवाब नहीं देती, और असंबद्ध एल्गोरिद्मों की संख्याएँ तुलना करना कोई रैंकिंग नहीं है। इसके बजाय पूछें कि कुंजी अदला-बदली क्या देती है।

टनल कहाँ समाप्त होता है

जो सिरा टनल समाप्त करता है वह आगे भेजी गई सामग्री पढ़ सकता है। यह कॉर्पोरेट गेटवे, वाणिज्यिक प्रदाता और स्वयं-होस्टेड सर्वर, तीनों के लिए उतना ही सच है। यह डिज़ाइन है, इसमें कोई कमी नहीं। मज़बूत क्रिप्टोग्राफ़ी किसी समझौता-ग्रस्त सिरे को वहाँ पहुँचने वाला सादा पाठ पढ़ने से नहीं रोक सकती, क्योंकि सुरक्षा सिरे पर ही रुक जाती है।

HTTPS उस बिंदु के आगे भी चलता रहता है, इसीलिए कोई साइट VPN के बिना भी शत्रुतापूर्ण नेटवर्क पर सुरक्षित रह सकती है। दोनों सुरक्षाएँ पहले हिस्से में ओवरलैप करती हैं और निकास के बाद उनमें से केवल एक चलती रहती है।

इसीलिए कनेक्शन चलाने के लिए प्रमाणपत्र सत्यापन कमज़ोर करना टनल की परीक्षा नहीं है। यह दूसरी सुरक्षा बंद कर देता है और आपको शुरुआत से कम के साथ छोड़ देता है।

गुमनामी अलग उत्पाद क्यों है

पते, समय और मात्रा टनल के बाहर देखे जा सकते रहते हैं। निरीक्षक देख सकता है कि ट्रैफ़िक VPN सिरे की ओर बह रहा है, लगभग कितना और कब। सामग्री अपठनीय हो सकती है जबकि पैटर्न अब भी जानकारी देता है।

प्रदाता भी आपके नेटवर्क से अलग जगह बैठता है, जो निरीक्षक का बदलना है, निरीक्षण का हटना नहीं। कुकीज़, लॉगिन और खाता पहचानकर्ता पहले की तरह ही काम करते हैं, क्योंकि टनल ने उन्हें बदलने का कभी वादा नहीं किया।

अगर यही आवश्यकता हो तो लॉगिंग नीति और क्षेत्राधिकार के आधार पर प्रदाता चुनें, फिर नीति स्वयं पढ़ें। विपणन पेज इस सवाल का जवाब शायद ही ऐसे देते हैं जिसे कोई जाँच सके।

टनल और साइट को अलग-अलग जाँचें

पहले टनल सत्यापित करें, ताकि आप जानें कि कौन-सी सुरक्षा परख रहे हैं। फिर साइट का अपना परिवहन सत्यापित करें, और एक को दूसरे का अर्थ मानने के बजाय दोनों परिणामों की तुलना करें। सादा HTTP ढोने वाला टनल और HTTPS परोसने वाली साइट, दोनों ठीक वही कर रहे हैं जिसके लिए उन्हें सेट किया गया था।

जाँचें उसी होस्ट पर चलाएँ जिसे परखने की आपको अनुमति है, और सारांश के बजाय आउटपुट पढ़ें।

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

जब टनल चालू हो और साइट HTTPS हो, तो पहले हिस्से में आपकी दो सुरक्षाएँ हैं और दूसरे में एक। जब साइट सादा HTTP हो, तो दूसरा हिस्सा वहाँ मौजूद हर किसी के लिए पढ़ने योग्य है, उस निकास सहित जिसने अनुरोध आगे भेजा। इन दोनों में से कौन-सी कम है, यह जानना ही पूरा निदान है, और इसमें नए क्लाइंट के बजाय दो कमांड लगते हैं।