Miért számít még mindig a HTTPS, amikor a VPN-alagút véget ér

Zöld VPN-jelző, magánélet-érzés, aztán a böngésző tanúsítványriasztást dob fel a bank oldalán. Ebből a riasztásból semmit nem tesz jobbá az alagút. A VPN az eszközödtől a saját szerveréig tartó utat védi; a HTTPS a böngésződtől a webhely TLS-végpontjáig tartó kérést. Az utazás különböző szakaszait fedik le, és az egyik nem helyettesíti a másikat.

Két alagút, két különböző véggel

A VPN-alagút a VPN-szervernél ér véget. Ettől a ponttól a forgalmad a közönséges interneten halad tovább a cél felé. A VPN üzemeltetője látja a kapcsolat metaadatait, bár a tartalmat nem tudja elolvasni.

A HTTPS a böngésződben kezdődik és a webhely TLS-végpontjánál ér véget. Nem érdekli, hogyan jutott el a csomag a szerverhez, és nem függ a VPN jelenlététől.

Ezért a két védelem kiegészíti egymást a versengés helyett. A VPN elrejti a kérést a helyi hálózat és a szolgáltatód elől a saját kijáratáig. A HTTPS elrejti minden megfigyelő elől e kijárat után, beleértve magát a VPN-szolgáltatót is. Egyik sem fedi le a másik hiányát. Aki ezt megérti, abbahagyja annak kérdezését, melyik elég.

Egy közönséges HTTP-űrlap közönséges marad a kijárat után is

Egy régebbi oldal, amely HTTP-n fogad űrlapot, a VPN-szerveren túl védtelen. Az alagút elviszi az űrlapot a kijáratig, az útvonal többi része pedig nyíltan viszi.

Használd az igazi HTTPS-változatot vagy más hivatalos csatornát minden érzékeny dologhoz.

A csatlakozott jelző nem változtatja meg az alkalmazás átvitelét. A böngésző csak-HTTPS módja segíthet megelőzni egy véletlen visszaesést, de nem tud megjavítani egy olyan oldalt, amely soha nem kínált TLS-t.

A tanúsítványriasztást nem gyógyítja meg a VPN

Egy rossz gazdagépnév, egy lejárt tanúsítvány, egy ferde eszközóra vagy egy elfogás mind-mind érvényesítési hibát okozhat. A VPN egyiket sem teszi ártalmatlanná.

Először a pontos címet és a rendszerórát ellenőrizd.

Ha hálózati bejelentkező oldal van a dologban, használd a platform szokásos captive portal folyamatát. Ne adj tartós kivételt egy független fiókoldalnak csak azért, mert egy szállodai hálózat ezt kérte.

Kezelt eszközön kérdezd meg, telepítve van-e ellenőrző tanúsítvány. Ez megváltoztatja a szokásos bizalmi berendezkedést, és konkrét magyarázatot érdemel vállrángatás helyett. Kérdezz a tanúsítvány céljáról és arról, kié.

A titkosítás nem állítja meg a nyomkövetést

A munkamenet sütiket, bejelentkezéseket és űrlapadatokat visz az oldalra pontosan a szándéknak megfelelően. Egy követő is utazhat titkosított kapcsolaton, és a legtöbbjük ezt teszi.

A VPN megváltoztatja az útvonalat és a látszólagos kimenő címet. Nem változtatja meg a fiókon keresztül adott identitást, és nem törli a sütit, amely az oldalak között követ.

Tartsd meg a böngészővédelemet, amelyet már használsz. A VPN ezek kiegészítése, nem helyettesítése.

A címet ellenőrizd, nem a jelzőt

Ellenőrizd a gazdagépnevet a címsorban és a tanúsítványt, amelyet az oldal bemutat. A lakat azt jelenti, hogy a kapcsolat valamilyen végpontig titkosított; ez nem jelenti azt, hogy az a végpont az, amelyet szándékoltál.

Két parancs mutatja a tanúsítványt és az átirányítási láncot:

curl -sSI https://bank.example/ | head -5
openssl s_client -connect bank.example:443 -servername bank.example < /dev/null 2>/dev/null | openssl x509 -noout -subject -dates

Ha a tanúsítvány más gazdagépet nevez meg, állj meg. Ha az óra rossz, javítsd ki újabb próbálkozás előtt. Ha egy átirányítás sima HTTP-re küld, tekintsd az oldal hibájának, és nem oknak az érvényesítés kikapcsolására. A böngészőriasztás azért létezik, mert az alternatíva annak találgatása, melyik végpont kapta meg a jelszavad.