Hvers vegna HTTPS skiptir enn máli eftir að VPN-göngin endar

Græn VPN-vísir, tilfinning um einkalíf, og svo kastar vafrinn viðvörun um skírteini á bankasíðunni. Ekkert í þeirri viðvörun verður betra vegna gangna. VPN verndar leiðina frá tækinu þínu að eigin netþjóni; HTTPS verndar beiðnina frá vafranum þínum að TLS-endapunkti vefsins. Þau þekja ólíka kafla ferðarinnar, og annað kemur ekki í stað hins.

Tvö göng með tvo ólíka enda

VPN-göngin endar á VPN-netþjóninum. Handan þess punktar heldur umferðin þín áfram á venjulegu netinu að áfangastað. Rekstraraðili VPN sér lýsigögn tengingarinnar þótt hann geti ekki lesið innihaldið.

HTTPS hefst í vafranum þínum og endar á TLS-endapunkti vefsins. Það er sama hvernig pakkinn barst netþjóninum, og það fer ekki eftir því hvort VPN sé til staðar.

Þess vegna styrkja þessar tvær verndir hver aðra í stað þess að keppa. VPN felur beiðnina fyrir staðarnetinu og fyrir netþjónustunni þinni fram að útgangi sínum. HTTPS felur hana fyrir hverjum áhorfanda eftir þann útgang, þar á meðal fyrir VPN-veitandanum sjálfum. Hvorug þekur skarð hins. Sá sem skilur þetta hættir að spyrja hver sé nóg.

Venjulegt HTTP-eyðublað helst venjulegt eftir útganginn

Eldri vefur sem tekur við eyðublaði yfir HTTP er óvarið handan VPN-netþjónsins. Göngin bera eyðublaðið að útganginum, og afgangur leiðarinnar ber það opið.

Notaðu hina ósviknu HTTPS-útgáfu eða annan opinberan farveg fyrir hvað sem er viðkvæmt.

Tengdur vísir breytir ekki flutningi forritsins. HTTP eingöngu-stilling vafrans getur hjálpað að koma í veg fyrir óviljandi afturhvarf, en hún getur ekki lagað vef sem bauð aldrei TLS.

Viðvörun um skírteini er ekki læknuð af VPN

Rangt hýsilnafn, útrunnið skírteini, skakkt úr tækisins eða afhlíðing geta allt valdið mistökum í staðfestingu. VPN gerir ekkert þeirra skaðlaust.

Athugaðu nákvæmlega vistfangið og kerfisúrið fyrir allt annað.

Ef netinnskráningarsíða á í hlut, notaðu venjulegt captive portal-flæði stýrikerfisins. Ekki veita varanlega undanþágu fyrir ótengdan reikningsvef af því að hótelnet bað þig um það.

Á stýrðu tæki skaltu spyrja hvort skoðunarskírteini sé uppsett. Það breytir venjulegu traustskipulagi og á skilið skýringu frekar en axlaprýði. Spurðu um tilgang skírteinisins og hver á það.

Dulkóðun stöðvar ekki rakningu

Lotan ber vafrakökur, innskráningar og eyðublaðsgögn til vefsins nákvæmlega eins og ætlað var. Rakari getur líka riðið á dulkóðuðu sambandi, og flestir gera það.

VPN breytir leiðinni og hinu sýnilega útgangsvistfangi. Það breytir ekki auðkenninu sem þú gefur upp með reikningi, og það eyðir ekki vafrakökunni sem fylgir þér milli vefa.

Haltu þeim vafraverndum sem þú notar þegar. VPN er viðbót við þær, ekki staðgengill.

Athugaðu vistfangið, ekki vísinn

Staðfestu hýsilnafnið í vistfangastikunni og skírteinið sem vefurinn sýnir. Hengilásinn þýðir að sambandið er dulkóðað að einhverjum endapunkti; það þýðir ekki að sá endapunktur sé sá sem þú ætlaðir.

Tvær skipanir sýna skírteinið og endurbeiningarkeðjuna:

curl -sSI https://bank.example/ | head -5
openssl s_client -connect bank.example:443 -servername bank.example < /dev/null 2>/dev/null | openssl x509 -noout -subject -dates

Ef skírteinið nefnir annan hýsil, stoppaðu. Ef úrið er rangt, lagaðu það áður en þú reynir aftur. Ef endurbeining sendir þig á ódulkóðað HTTP, líttu á það sem mistök vefsins en ekki sem ástæðu til að slökkva á staðfestingu. Vafraviðvörunin er til vegna þess að kosturinn er að geta sér til um hvaða endapunktur fékk lykilorðið þitt.