Mengapa HTTPS tetap penting setelah terowongan VPN berakhir

Indikator VPN hijau, rasa privasi, lalu peramban memunculkan peringatan sertifikat di situs bank. Tidak ada satu pun dari peringatan itu yang membaik karena terowongan. VPN melindungi jalur dari perangkatmu ke servernya sendiri; HTTPS melindungi permintaan dari perambanmu ke titik akhir TLS situs web. Keduanya menutupi bagian perjalanan yang berbeda, dan yang satu tidak menggantikan yang lain.

Dua terowongan dengan dua ujung berbeda

Terowongan VPN berakhir di server VPN. Setelah titik itu, lalu lintasmu berlanjut di internet biasa menuju tujuan. Operator VPN dapat melihat metadata koneksi meski tidak dapat membaca isinya.

HTTPS dimulai di perambanmu dan berakhir di titik akhir TLS situs web. Ia tidak peduli bagaimana paket itu sampai ke server, dan tidak bergantung pada kehadiran VPN.

Itulah sebabnya kedua perlindungan ini saling melengkapi alih-alih bersaing. VPN menyembunyikan permintaan dari jaringan lokal dan dari ISP-mu sampai titik keluarnya. HTTPS menyembunyikannya dari setiap pengamat setelah titik keluar itu, termasuk dari penyedia VPN itu sendiri. Tidak ada yang menutupi celah yang lain. Orang yang memahami ini berhenti bertanya mana yang cukup.

Formulir HTTP biasa tetap biasa setelah titik keluar

Situs lama yang menerima formulir lewat HTTP tidak terlindungi di luar server VPN. Terowongan membawa formulir itu sampai titik keluar, dan sisa jalur membawanya secara terbuka.

Gunakan versi HTTPS yang asli atau saluran resmi lain untuk apa pun yang sensitif.

Indikator tersambung tidak mengubah pengangkutan aplikasi. Mode hanya-HTTPS peramban dapat membantu mencegah kemunduran tak sengaja, tetapi tidak dapat memperbaiki situs yang tidak pernah menawarkan TLS.

Peringatan sertifikat tidak disembuhkan oleh VPN

Nama host yang salah, sertifikat kedaluwarsa, jam perangkat yang miring, atau penyadapan semuanya dapat menyebabkan kegagalan validasi. VPN tidak membuat satu pun dari itu tidak berbahaya.

Periksa alamat yang tepat dan jam sistem sebelum hal lain.

Jika ada halaman masuk jaringan, gunakan alur portal tertawan yang normal dari platform. Jangan beri pengecualian permanen pada situs akun yang tidak terkait karena jaringan hotel memintanya.

Di perangkat yang dikelola, tanyakan apakah sertifikat inspeksi terpasang. Itu mengubah pengaturan kepercayaan biasa dan pantas mendapat penjelasan khusus alih-alih angkat bahu. Tanyakan tujuan sertifikat dan siapa pemiliknya.

Enkripsi tidak menghentikan pelacakan

Sesi membawa kuki, login, dan data formulir ke situs persis seperti yang dimaksud. Pelacak juga bisa menumpang koneksi terenkripsi, dan sebagian besar melakukannya.

VPN mengubah rute dan alamat keluar yang tampak. Ia tidak mengubah identitas yang kamu berikan lewat akun, dan tidak menghapus kuki yang mengikutimu antar situs.

Pertahankan perlindungan peramban yang sudah kamu pakai. VPN adalah tambahan bagi itu, bukan pengganti.

Periksa alamatnya, bukan indikatornya

Verifikasi nama host di bilah alamat dan sertifikat yang ditampilkan situs. Gembok berarti koneksi terenkripsi ke suatu titik akhir; bukan berarti titik akhir itu adalah yang kamu maksud.

Dua perintah menampilkan sertifikat dan rantai pengalihan:

curl -sSI https://bank.example/ | head -5
openssl s_client -connect bank.example:443 -servername bank.example < /dev/null 2>/dev/null | openssl x509 -noout -subject -dates

Jika sertifikat menyebut host lain, berhenti. Jika jamnya salah, perbaiki sebelum mencoba lagi. Jika pengalihan mengirimmu ke HTTP biasa, anggap itu kegagalan situs dan bukan alasan untuk mematikan validasi. Peringatan peramban ada karena alternatifnya adalah menebak titik akhir mana yang menerima kata sandimu.