Apa yang dienkripsi terowongan dan apa yang tetap terbaca

Terowongan Anda aktif, satu tab menampilkan gembok hijau, dan halaman HTTP biasa di tab lain masih memperingatkan bahwa koneksi tidak aman. Kombinasi itu membingungkan orang karena kedua perlindungan mencakup jarak yang berbeda. VPN melindungi lalu lintas di antara titik ujungnya sendiri, dan di luar titik keluar lalu lintas kembali biasa. HTTPS melindungi satu koneksi hingga ke situs web. Menyejajarkan kedua fakta itu menjelaskan sebagian besar pertanyaan tentang apa yang sebenarnya disembunyikan VPN.

Apa yang sebenarnya dicakup terowongan

Antara klien dan rekan VPN, pengamat melihat byte terenkripsi, bukan permintaan yang bisa dibaca. Itu mencakup segmen yang dilewati terowongan, yang biasanya bagian yang tidak Anda kendalikan. Itu tidak meluas ke tautan antara titik keluar VPN dan situs web, karena terowongan berakhir di titik keluar. Byte kembali bisa dibaca sejak saat terowongan berakhir. Tidak ada yang salah konfigurasi dalam hal itu.

Titik keluar adalah mesin yang mendekripsi dan meneruskan, dan itulah tujuan VPN. Apa pun yang diteruskannya terlihat olehnya dalam bentuk saat diterima, sehingga permintaan HTTP biasa tetap teks biasa dari titik keluar dan seterusnya.

Bacalah itu sebagai sifat, bukan cacat. Enkripsi dibatasi pada satu jalur, dan jalur berakhir di tempat layanan dimulai.

Kunci, nonce, dan integritas dengan kata sederhana

Lalu lintas yang berjalan dilindungi dengan kriptografi simetris, dan kedua ujung menurunkan atau memperoleh materi kunci selama jabat tangan. Enkripsi terautentikasi, yang dijelaskan secara umum oleh RFC 5116, memberikan kerahasiaan dan integritas dalam satu konstruksi. Penerima menolak byte yang diubah, bukan sekadar gagal membacanya, dan itulah bagian yang orang lupakan ketika menganggap enkripsi berarti mengacak.

Kunci berasal dari pertukaran itu, bukan dari kata sandi yang diketik saat masuk. Kata sandi mengautentikasi identitas, lalu protokol menetapkan materi sesi. Pertukaran kunci efemeral yang memberikan kerahasiaan ke depan, sehingga sesi yang direkam tetap tidak terbaca meskipun kunci jangka panjang bocor kemudian.

Angka besar dalam spesifikasi tidak menjawab satu pun pertanyaan itu, dan membandingkan angka antar algoritme yang tidak terkait bukanlah peringkat. Tanyakan saja apa yang disediakan pertukaran kunci.

Di mana terowongan berakhir

Titik ujung yang mengakhiri terowongan dapat membaca apa yang diteruskannya. Itu berlaku sama bagi gerbang korporat, penyedia komersial, dan server yang dihosting sendiri. Itu desainnya, bukan cacat. Kriptografi kuat tidak dapat mencegah titik ujung yang disusupi membaca teks biasa yang tiba di sana, karena titik ujung adalah tempat perlindungan berhenti.

HTTPS berlanjut melewati titik itu, itulah sebabnya situs dapat aman di jaringan yang bermusuhan bahkan tanpa VPN. Kedua perlindungan tumpang tindih pada segmen pertama dan hanya satu yang berlanjut setelah titik keluar.

Itu juga sebabnya melemahkan verifikasi sertifikat agar koneksi berfungsi bukanlah uji terowongan. Itu mematikan perlindungan lain dan meninggalkan Anda dengan lebih sedikit daripada saat mulai.

Mengapa anonimitas adalah produk lain

Alamat, waktu, dan volume tetap dapat diamati di luar terowongan. Pengamat dapat melihat bahwa lalu lintas mengalir ke titik ujung VPN, kira-kira berapa banyak, dan kapan. Isi mungkin tidak terbaca sementara polanya masih informatif.

Penyedia juga berada di tempat yang berbeda dari jaringan Anda sendiri, yang merupakan perubahan pengamat, bukan penghapusan pengamatan. Cookie, login, dan pengenal akun tetap bekerja persis seperti sebelumnya, karena terowongan tidak pernah berjanji mengubahnya.

Pilih penyedia berdasarkan kebijakan pencatatannya dan yurisdiksinya jika itu syaratnya, lalu baca kebijakan itu sendiri. Halaman pemasaran jarang menjawab pertanyaan itu dengan cara yang bisa diaudit siapa pun.

Periksa terowongan dan situs secara terpisah

Verifikasi terowongan dulu, agar Anda tahu perlindungan mana yang sedang diuji. Lalu verifikasi transportasi situs itu sendiri, dan bandingkan kedua hasil alih-alih menganggap yang satu menyiratkan yang lain. Terowongan yang membawa HTTP biasa dan situs yang menyajikan HTTPS keduanya melakukan persis apa yang dikonfigurasi.

Jalankan pemeriksaan terhadap host yang boleh Anda uji, dan baca keluarannya, bukan ringkasannya.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

Ketika terowongan aktif dan situs HTTPS, Anda punya dua perlindungan pada segmen pertama dan satu pada segmen kedua. Ketika situs HTTP biasa, segmen kedua dapat dibaca siapa pun di dalamnya, termasuk titik keluar yang meneruskan permintaan. Mengetahui mana dari keduanya yang hilang adalah seluruh diagnosis, dan itu butuh dua perintah, bukan klien baru.