VPN i Tor ne zamjenjuju HTTPS: gdje završava svaki sloj

VPN i Tor krug oboje šifriraju vaš promet na dijelu puta. Oboje prestaju šifrirati kod para koji sami odaberu. HTTPS je sloj koji stiže do same stranice, i nikakva količina tuneliranja ispred njega ne pretvara obično slanje obrasca u zaštićeno. Praćenje svakog sloja do točke gdje završava to čini očiglednim.

Tri sloja, tri različite krajnje točke

Uobičajeni VPN završava svoj tunel na VPN poslužitelju. Sve između vašeg uređaja i tog poslužitelja nalazi se unutar tunela, a sve nakon njega nije. Tor krug ponaša se isto s drugim parom, napuštajući mrežu na izlaznom releju koji prosljeđuje vaš zahtjev odredištu.

TLS završava na stranici. Certifikat koji ste provjerili veže ime hosta uz ključ koji stranica kontrolira, a sesijski ključevi postoje između vašeg preglednika i tog poslužitelja. Ta krajnja točka nalazi se iza i VPN poslužitelja i Tor izlaza.

Dakle tri sloja imaju tri različite granice povjerenja, a zahtjev prolazi kroz sve njih redom. Jačanje jednoga ne govori ništa o ostalima, a posljednji je jedini u kojem odredište sudjeluje.

Što otkriva posljednji skok

Ako aplikacija koristi običan HTTP, sadržaj iza izlaza može čitati svatko tko upravlja tim skokom. Raniji tunel odradio je svoj posao savršeno i jednostavno ga više nema. Podaci za prijavu upisani u HTTP obrazac izloženi su točno u točki gdje je zaštita završila.

Uz ispravno provjeren HTTPS, posrednik na putu ne može čitati niti tiho mijenjati sadržaj aplikacije. I dalje vidi da ste se povezali, kada i na koju adresu, jer zaglavlja paketa moraju biti usmjeriva. Povjerljivost sadržaja i metapodaci o vezi različita su svojstva, a samo prvo pruža TLS.

Identitet računa je opet treća stvar. Prijava na račun identificira vas toj usluzi bez obzira na to koju ste izlaznu adresu koristili, pa izlaz štiti mrežni put, a ne račun. Ta razlika nadživljava bilo koji broj slojeva ispred sebe. Mijenjanje izlaza nikad ne mijenja ono što otkriva prijavljena sesija. Usluga je znala tko ste prije nego što je prvi paket otišao.

Ništa se u ovom rasporedu ne kvari dodavanjem drugog tunela. Mijenja se to koji promatrač vidi prvi skok, a ne je li posljednji skok šifriran.

Redoslijed mijenja promatrače, ne krajnju točku

Lančano povezivanje VPN-a i Tor-a legitiman je način da promijenite tko što vidi na mrežnoj razini. Pokretanje Tor-a preko VPN-a skriva od vaše pristupne mreže činjenicu da koristite Tor, dok pokretanje VPN-a preko Tor-a skriva vašu adresu od VPN pružatelja. Oba su redoslijeda opisana u javnoj dokumentaciji i oba imaju kompromise u izvedbi i ponašanju pri kvaru.

Nijedan redoslijed ne pomiče TLS krajnju točku. U oba slučaja preglednik i dalje provjerava certifikat za zatraženo ime hosta, i u oba slučaja HTTP adresa i dalje šalje svoj sadržaj otvoreno iza posljednjeg releja. Sastav mijenja popis promatrača; ne mijenja broj slojeva na odredištu.

Zato se savjeti o lančanju obično tiču modela prijetnji, a ne sigurnosti općenito. Duži lanac nije jača inačica iste stvari, i nije zamjena za protokol koji je aplikacija odabrala.

curl -sSI https://example.net | head -3
openssl s_client -connect example.net:443 -servername example.net -brief

Obje naredbe pokazuju sloj koji je važan na odredištu. Druga ispisuje dogovoreni protokol bez uključivanja ikakvog tunela. Nijedna vam ne govori ništa o izlazu koji ste koristili.

Održite provjeru radnom dok rješavate probleme

Upozorenje o certifikatu informacija je o vezi koju ćete uspostaviti. Može značiti nesklad imena hosta, problem sa satom, nepouzdan lanac ili pokušaj presretanja. Dodavanje trajne iznimke zato što je VPN povezan uklanja jedini signal koji bi te slučajeve razlikovao.

Sigurnosne značajke veze u Tor Browseru i njegova upozorenja postoje iz istog razloga, a njihovo isključivanje da bi se stranica učitala mijenja vidljiv neuspjeh za nevidljiv. Ako se do stranice ne može bez iznimke, pošten zaključak je da veza nije provjerljiva, a ne da ju je tunel učinio sigurnom.

Šifriranje također ne govori ništa o namjeri. Valjana HTTPS veza s obmanjujućom stranicom dostavlja vaše podatke toj stranici uz savršenu povjerljivost. Provjerite adresu i što šaljete, ne samo postoji li lokot.

Onion usluge su doista drugačiji model. Do njih se stiže kroz Tor mrežu bez uobičajenog javnog izlaza, što nije isto kao pristupanje javnoj stranici preko Tor-a. Tretirajte to kao odvojen slučaj s vlastitim očekivanjima, a ne kao jaču inačicu istog posjeta.

Pravilo koje preživljava svaku konfiguraciju kratko je. Sačuvajte provjeru preglednika netaknutom. Procijenite svaki sloj po tome gdje zaista završava.