Hvað göngin dulkóða og hvað þau láta vera læsilegt

Göngin þín eru í gangi, einn flipi sýnir grænan hengilás, og venjuleg HTTP-síða í öðrum flipa varar enn við því að tengingin sé ekki örugg. Þessi samsetning ruglar fólki því að varnirnar tvær ná yfir mismunandi vegalengdir. VPN verndar umferð milli eigin endapunkta, og handan útgöngunnar er umferðin aftur venjuleg. HTTPS verndar eina tengingu alla leið að vefsvæðinu. Að setja þessar tvær staðreyndir saman skýrir flestar spurningar um hvað VPN felur í raun.

Hvað göngin ná í raun yfir

Milli biðlarans og VPN-jafningjans sér áhorfandi dulkóðuð bæti en ekki læsilega beiðni. Það nær yfir þann hluta sem göngin fara um, sem er venjulega sá hluti sem þú stjórnar ekki. Það nær ekki til tengilsins milli VPN-útgöngunnar og vefsvæðisins, því göngin enduðu við útgönguna. Bætin eru aftur læsileg frá þeirri stundu sem göngunum lýkur. Ekkert við það er rangt stilling.

Útgangan er vél sem afkóðar og sendir áfram, og það er einmitt tilgangur VPN. Allt sem hún sendir áfram er sýnilegt henni í þeirri mynd sem hún fékk það, svo venjuleg HTTP-beiðni helst venjulegur texti frá útgöngunni og áfram.

Lestu þetta sem eiginleika en ekki galla. Dulkóðun er takmörkuð við slóð, og slóðin endar þar sem þjónustan byrjar.

Lyklar, nonce og heilleiki á einföldu máli

Umferð í gangi er vernduð með samhverfri dulritun, og báðir endar leiða út eða afla lykilefnisins í handabandinu. Sannreynd dulkóðun, sem RFC 5116 lýsir almennt, veitir trúnað og heilleika í einni byggingu. Viðtakandinn hafnar breyttum bætum í stað þess að mistakast einfaldlega að lesa þau, og það er hlutinn sem fólk gleymir þegar það heldur að dulkóðun þýði að hræra saman.

Lyklarnir koma úr þeirri skiptingu, ekki úr lykilorðinu sem slegið er inn við innskráningu. Lykilorðið sannvottar auðkenni, og svo setur samskiptareglan upp lotuefni. Efemert lyklaskipti er það sem gefur framlæga leynd, svo upptekin lota helst ólæsileg jafnvel þótt langtímalykill leki síðar.

Stór tala í forskrift svarar engri þessara spurninga, og að bera saman tölur milli ótengdra reiknirita er ekki röðun. Spurðu frekar hvað lyklaskiptin veita.

Hvar göngunum lýkur

Endapunkturinn sem endar göngin getur lesið það sem hann sendir áfram. Það á jafnt við um fyrirtækjahlið, viðskiptaveitanda og sjálfshýstan þjón. Þetta er hönnunin, ekki galli í henni. Sterk dulritun getur ekki hindrað málamiðlaðan endapunkt í að lesa venjulegan texta sem berst þangað, því endapunkturinn er þar sem verndin stöðvast.

HTTPS heldur áfram fram yfir þann punkt, þess vegna getur vefsvæði verið öruggt á fjandsamlegu neti jafnvel án VPN. Varnirnar tvær skarast á fyrsta hlutanum og aðeins önnur þeirra heldur áfram eftir útgönguna.

Þess vegna er að veikja vottorðasannprófun til að fá tengingu til að virka ekki próf á göngunum. Það slekkur á annarri vernd og skilur þig eftir með minna en þú byrjaðir með.

Hvers vegna nafnleysi er önnur vara

Vistföng, tímasetning og magn eru áfram sýnileg utan ganganna. Áhorfandi getur séð að umferð streymir til VPN-endapunkts, gróflega hversu mikið og hvenær. Efnið getur verið ólæsilegt á meðan mynstrið er enn upplýsandi.

Veitandinn situr líka annars staðar en þitt eigið net, sem er breyting á áhorfanda en ekki afnám áhorfs. Vafrakökur, innskráningar og auðkenni reikninga virka nákvæmlega eins og áður, því göngin lofuðu aldrei að breyta þeim.

Veldu veitanda eftir skráningastefnu hans og lögsögu ef það er krafan, og lestu svo stefnuna sjálfa. Markaðssíður svara þeirri spurningu sjaldan á þann hátt að nokkur geti endurskoðað hana.

Athugaðu göngin og vefsvæðið hvort í sínu lagi

Sannreyndu göngin fyrst, svo þú vitir hvaða vernd þú ert að prófa. Sannreyndu svo eigin flutning vefsvæðisins og berðu saman tvær niðurstöður í stað þess að gera ráð fyrir að önnur gefi hina. Göng sem flytja venjulegt HTTP og vefsvæði sem þjónar HTTPS gera bæði nákvæmlega það sem þau voru stillt til að gera.

Keyrðu prófin gegn hýsli sem þú hefur leyfi til að prófa, og lestu úttakið en ekki samantektina.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

Þegar göngin eru í gangi og vefsvæðið er HTTPS hefur þú tvær varnir á fyrsta hlutanum og eina á þeim öðrum. Þegar vefsvæðið er venjulegt HTTP er annar hlutinn læsilegur fyrir alla sem þar eru, þar á meðal útgönguna sem sendi beiðnina áfram. Að vita hvorri vantar er öll greiningin, og það tekur tvær skipanir en ekki nýjan biðlara.