Mit titkosít az alagút, és mit hagy olvashatónak

Az alagút fut, az egyik lapon zöld lakat látható, és egy másik lapon lévő egyszerű HTTP-oldal továbbra is figyelmeztet, hogy a kapcsolat nem biztonságos. Ez a kombináció összezavarja az embereket, mert a két védelem különböző távolságokat fed le. A VPN a saját végpontjai közötti forgalmat védi, a kijáraton túl pedig a forgalom újra hétköznapivá válik. A HTTPS egy kapcsolatot véd egészen a webhelyig. Ha ezt a két tényt egymás mellé tesszük, az megmagyarázza a legtöbb kérdést arról, mit is rejt el valójában egy VPN.

Mit fed le valójában az alagút

Az ügyfél és a VPN-társ között a megfigyelő titkosított bájtokat lát, nem olvasható kérést. Ez az alagút által átszelt szakaszt fedi le, ami általában az a rész, amelyet nem Ön irányít. Nem terjed ki a VPN kijárata és a webhely közötti kapcsolatra, mert az alagút a kijáratnál véget ért. A bájtok attól a pillanattól újra olvashatók, amikor az alagút lezárul. Ebben semmi sem hibás beállítás.

A kijárat egy gép, amely visszafejti és továbbítja a forgalmat, és pontosan erre való a VPN. Minden, amit továbbít, abban a formában látható számára, ahogy megkapta, ezért az egyszerű HTTP-kérés a kijárattól kezdve sima szöveg marad.

Ezt tulajdonságként olvassa, ne hibaként. A titkosítás egy útvonalra korlátozódik, az útvonal pedig ott ér véget, ahol a szolgáltatás elkezdődik.

Kulcsok, nonce-ok és sértetlenség egyszerű szavakkal

A futó forgalmat szimmetrikus kriptográfia védi, és mindkét fél a kézfogás során származtatja vagy szerzi meg a kulcsanyagot. A hitelesített titkosítás, amelyet az RFC 5116 általánosságban leír, egyetlen konstrukcióban ad bizalmasságot és sértetlenséget. A vevő elveti a módosított bájtokat ahelyett, hogy egyszerűen nem tudná elolvasni őket, és éppen ezt felejtik el az emberek, amikor azt hiszik, hogy a titkosítás összekeverést jelent.

A kulcsok ebből a cseréből származnak, nem a bejelentkezéskor beírt jelszóból. A jelszó egy személyazonosságot hitelesít, utána a protokoll létrehozza a munkamenet-anyagot. Az efemer kulcscsere adja a továbbított titkosságot, így egy rögzített munkamenet akkor is olvashatatlan marad, ha egy hosszú távú kulcs később kiszivárog.

Egy nagy szám egy specifikációban egyik kérdésre sem ad választ, és a számok összehasonlítása egymástól független algoritmusok között nem rangsor. Kérdezze inkább azt, mit nyújt a kulcscsere.

Hol ér véget az alagút

Az alagutat lezáró végpont olvashatja azt, amit továbbít. Ez ugyanúgy igaz egy vállalati átjáróra, egy kereskedelmi szolgáltatóra és egy saját üzemeltetésű szerverre. Ez a tervezés, nem hiba benne. Az erős kriptográfia nem akadályozhatja meg egy kompromittált végpontot abban, hogy elolvassa a hozzá érkező sima szöveget, mert a védelem a végpontnál áll meg.

A HTTPS túlmutat ezen a ponton, ezért egy webhely VPN nélkül is biztonságos lehet egy ellenséges hálózaton. A két védelem az első szakaszon átfed, és a kijárat után csak az egyik folytatódik.

Ezért nem az alagút tesztje az, ha valaki a tanúsítvány-ellenőrzést gyengíti, hogy a kapcsolat működjön. Ez egy másik védelmet kapcsol ki, és kevesebbel hagyja magát, mint amivel kezdte.

Miért más termék az anonimitás

A címek, az időzítés és a mennyiség az alagúton kívül megfigyelhető marad. A megfigyelő láthatja, hogy forgalom áramlik egy VPN-végpont felé, nagyjából mennyi és mikor. A tartalom olvashatatlan lehet, miközben a minta még mindig informatív.

A szolgáltató is máshol ül, mint a saját hálózata, ami a megfigyelő megváltozása, nem a megfigyelés megszüntetése. A sütik, a bejelentkezések és a fiókazonosítók pontosan úgy működnek, mint korábban, mert az alagút soha nem ígérte meg, hogy megváltoztatja őket.

Ha ez a követelmény, a naplózási szabályzat és a joghatóság alapján válasszon szolgáltatót, majd olvassa el magát a szabályzatot. A marketingoldalak ritkán válaszolnak erre a kérdésre úgy, hogy bárki ellenőrizhesse.

Ellenőrizze külön az alagutat és a webhelyet

Először ellenőrizze az alagutat, hogy tudja, melyik védelmet teszteli. Utána ellenőrizze a webhely saját átvitelét, és hasonlítsa össze a két eredményt ahelyett, hogy azt feltételezné, az egyik maga után vonja a másikat. Az egyszerű HTTP-t szállító alagút és a HTTPS-t kiszolgáló webhely is pontosan azt teszi, amire beállították.

A vizsgálatokat olyan hoszt ellen futtassa, amelyet engedélyeztek tesztelni, és a kimenetet olvassa, ne az összefoglalót.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

Amikor az alagút fut és a webhely HTTPS, két védelme van az első szakaszon és egy a másodikon. Amikor a webhely egyszerű HTTP, a második szakasz mindenki számára olvasható, aki ott van, beleértve azt a kijáratot, amely továbbította a kérést. Hogy melyik hiányzik a kettő közül, az a teljes diagnózis, és ehhez két parancs kell, nem egy új kliens.