Ինչ է թունելը գաղտնագրում և ինչ է թողնում ընթեռնելի

Ձեր թունելը միացված է, մեկ ներդիրում կանաչ կողպեք է երևում, և մյուս ներդիրի սովորական HTTP էջը դեռ զգուշացնում է, որ կապը անվտանգ չէ։ Այս համակցությունը մարդկանց շփոթեցնում է, որովհետև երկու պաշտպանությունը տարբեր հեռավորություններ են ծածկում։ VPN-ը պաշտպանում է երթևեկությունը իր իսկ ծայրակետերի միջև, և ելքից այն կողմ երթևեկությունը նորից սովորական է դառնում։ HTTPS-ը պաշտպանում է մեկ կապ մինչև կայք։ Այս երկու փաստերը կողք կողքի դնելը բացատրում է VPN-ի իրականում ինչ թաքցնելու մասին հարցերի մեծ մասը։

Ինչ է թունելն իրականում ծածկում

Հաճախորդի և VPN զուգընկերոջ միջև դիտորդը տեսնում է գաղտնագրված բայթեր՝ ընթեռնելի հարցումի փոխարեն։ Սա ծածկում է այն հատվածը, որով անցնում է թունելը, և դա սովորաբար այն մասն է, որը դուք չեք վերահսկում։ Այն չի տարածվում VPN ելքի և կայքի միջև կապի վրա, որովհետև թունելն ավարտվել է ելքում։ Բայթերը նորից ընթեռնելի են դառնում թունելի ավարտի պահից։ Այստեղ ոչինչ սխալ կարգավորում չէ։

Ելքը մեքենա է, որը վերծանում և փոխանցում է, և հենց դրա համար է VPN-ը։ Այն ամենը, ինչ փոխանցում է, տեսանելի է նրան այն ձևով, ինչով ստացել է, ուստի սովորական HTTP հարցումը ելքից սկսած մնում է պարզ տեքստ։

Ընկալեք սա որպես հատկություն, ոչ թե թերություն։ Գաղտնագրումը սահմանափակված է ուղով, և ուղին ավարտվում է այնտեղ, որտեղ սկսվում է ծառայությունը։

Բանալիներ, nonce-ներ և ամբողջականություն պարզ բառերով

Ընթացիկ երթևեկությունը պաշտպանված է սիմետրիկ գաղտնագրությամբ, և երկու ծայրերն էլ ձեռքսեղմման ընթացքում ստանում կամ ածանցում են բանալու նյութը։ Նույնականացված գաղտնագրումը, որը RFC 5116-ը նկարագրում է ընդհանուր գծերով, տալիս է գաղտնիություն և ամբողջականություն մեկ կառույցում։ Ստացողը մերժում է փոփոխված բայթերը՝ պարզապես դրանք չկարողանալու փոխարեն, և հենց սա են մարդիկ մոռանում, երբ կարծում են, թե գաղտնագրումը նշանակում է խառնել։

Բանալիները գալիս են այդ փոխանակումից, ոչ թե մուտքի ժամանակ մուտքագրված գաղտնաբառից։ Գաղտնաբառը նույնականացնում է ինքնությունը, և այնուհետև արձանագրությունը հաստատում է սեսիայի նյութը։ Ժամանակավոր բանալու փոխանակումն է տալիս առաջ ընթացող գաղտնիություն, ուստի գրանցված սեսիան մնում է անընթեռնելի, նույնիսկ եթե երկարաժամկետ բանալին ավելի ուշ արտահոսի։

Սպեցիֆիկացիայի մեծ թիվը չի պատասխանում այս հարցերից ոչ մեկին, և անկապ ալգորիթմների թվերի համեմատելը վարկանիշ չէ։ Փոխարենը հարցրեք, թե ինչ է տալիս բանալու փոխանակումը։

Որտեղ է ավարտվում թունելը

Թունելն ավարտող ծայրակետը կարող է կարդալ այն, ինչ փոխանցում է։ Սա ճիշտ է և՛ կորպորատիվ դարպասի, և՛ առևտրային մատակարարի, և՛ ինքնուրույն տեղակայված սերվերի համար։ Սա դիզայն է, ոչ թե դրա թերություն։ Ուժեղ գաղտնագրությունը չի կարող կանխել վտանգված ծայրակետին կարդալ իրեն հասնող պարզ տեքստը, որովհետև հենց ծայրակետում է դադարում պաշտպանությունը։

HTTPS-ը շարունակվում է այդ կետից այն կողմ, դրա համար էլ կայքը կարող է ապահով լինել թշնամական ցանցում նույնիսկ առանց VPN-ի։ Երկու պաշտպանությունները հատվում են առաջին հատվածում, և ելքից հետո շարունակվում է դրանցից միայն մեկը։

Այդ պատճառով էլ վկայականի ստուգման թուլացումը, որպեսզի կապը աշխատի, թունելի փորձարկում չէ։ Այն անջատում է այլ պաշտպանություն և ձեզ թողնում սկզբից ավելի քիչով։

Ինչու անանունությունը այլ ապրանք է

Հասցեները, ժամանակը և ծավալը թունելից դուրս մնում են դիտելի։ Դիտորդը կարող է տեսնել, որ երթևեկությունը հոսում է դեպի VPN ծայրակետ, մոտավորապես ինչքան և երբ։ Բովանդակությունը կարող է անընթեռնելի լինել, մինչ օրինաչափությունը դեռ տեղեկատվական է։

Մատակարարը նույնպես գտնվում է ձեր ցանցից այլ տեղ, ինչը դիտորդի փոփոխություն է, ոչ թե դիտարկման վերացում։ Cookie-ները, մուտքերը և հաշվի նույնացուցիչները աշխատում են ճիշտ ինչպես առաջ, որովհետև թունելը երբեք չի խոստացել փոխել դրանք։

Եթե պահանջը դա է, մատակարար ընտրեք ըստ նրա գրանցամատյանի քաղաքականության և իրավասության, ապա կարդացեք հենց քաղաքականությունը։ Մարքեթինգային էջերը հազվադեպ են պատասխանում այդ հարցին այնպես, որ որևէ մեկը կարողանա ստուգել։

Ստուգեք թունելը և կայքը առանձին

Նախ ստուգեք թունելը, որպեսզի իմանաք, թե որ պաշտպանությունն եք փորձարկում։ Ապա ստուգեք կայքի սեփական տրանսպորտը և համեմատեք երկու արդյունքները՝ փոխարենը չենթադրելով, որ մեկը ենթադրում է մյուսը։ Սովորական HTTP կրող թունելը և HTTPS մատուցող կայքը երկուսն էլ անում են հենց այն, ինչի համար կարգավորվել են։

Ստուգումները կատարեք այն հոստի վրա, որը ձեզ թույլատրված է փորձարկել, և կարդացեք ելքը, ոչ թե ամփոփումը։

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

Երբ թունելը միացված է, իսկ կայքը HTTPS է, առաջին հատվածում ունեք երկու պաշտպանություն, իսկ երկրորդում՝ մեկը։ Երբ կայքը սովորական HTTP է, երկրորդ հատվածը ընթեռնելի է այնտեղ գտնվող բոլորի համար, ներառյալ այն ելքը, որը փոխանցել է հարցումը։ Իմանալը, թե դրանցից որն է պակասում, ամբողջ ախտորոշումն է, և դա պահանջում է երկու հրաման, ոչ թե նոր հաճախորդ։