Perché HTTPS conta ancora quando il tunnel VPN finisce

Indicatore VPN verde, sensazione di privacy, e poi il browser mostra un avviso di certificato sul sito della banca. Nulla di quell’avviso migliora grazie al tunnel. Una VPN protegge il percorso dal tuo dispositivo al proprio server; HTTPS protegge la richiesta dal tuo browser all’endpoint TLS del sito. Coprono tratti diversi del viaggio, e l’uno non sostituisce l’altro.

Due tunnel con due estremità diverse

Il tunnel VPN termina sul server VPN. Oltre quel punto, il tuo traffico prosegue sull’internet ordinaria verso la destinazione. L’operatore della VPN vede i metadati della connessione, anche se non può leggere il contenuto.

HTTPS inizia nel tuo browser e termina all’endpoint TLS del sito. Non gli importa come il pacchetto sia arrivato al server, e non dipende dalla presenza della VPN.

Per questo le due protezioni si compongono invece di competere. La VPN nasconde la richiesta alla rete locale e al tuo ISP fino alla sua uscita. HTTPS la nasconde a ogni osservatore dopo quell’uscita, compreso il fornitore della VPN stesso. Nessuna copre la lacuna dell’altra. Chi lo capisce smette di chiedere quale sia sufficiente.

Un modulo HTTP normale resta normale dopo l’uscita

Un sito più vecchio che accetta un modulo via HTTP non è protetto oltre il server VPN. Il tunnel porta il modulo fino all’uscita, e il resto del percorso lo porta in chiaro.

Usa la versione HTTPS autentica o un altro canale ufficiale per qualsiasi cosa sensibile.

Un indicatore connesso non cambia il trasporto dell’applicazione. La modalità solo HTTPS del browser può aiutare a evitare un ripiego accidentale, ma non può riparare un sito che non ha mai offerto TLS.

Un avviso di certificato non si guarisce con una VPN

Un nome host sbagliato, un certificato scaduto, un orologio del dispositivo sbilenco o un’intercettazione possono tutti causare un errore di convalida. La VPN non rende innocuo nessuno di questi casi.

Controlla l’indirizzo esatto e l’orologio di sistema prima di tutto il resto.

Se è coinvolta una pagina di accesso di rete, usa il normale flusso di portale captivo della piattaforma. Non concedere un’eccezione permanente a un sito di account non correlato perché una rete d’albergo te l’ha chiesto.

Su un dispositivo gestito, chiedi se è installato un certificato di ispezione. Questo cambia l’assetto di fiducia abituale e merita una spiegazione precisa invece di un’alzata di spalle. Chiedi lo scopo del certificato e di chi sia.

La crittografia non ferma il tracciamento

La sessione trasporta cookie, accessi e dati dei moduli al sito esattamente come previsto. Un tracker può viaggiare anche su una connessione cifrata, e la maggior parte lo fa.

Una VPN cambia il percorso e l’indirizzo di uscita apparente. Non cambia l’identità che fornisci tramite un account, e non cancella il cookie che ti segue tra i siti.

Mantieni le protezioni del browser che già usi. La VPN è un’aggiunta, non un sostituto.

Controlla l’indirizzo, non l’indicatore

Verifica il nome host nella barra degli indirizzi e il certificato che il sito presenta. Il lucchetto significa che la connessione è cifrata verso un qualche endpoint; non significa che quell’endpoint sia quello che intendevi.

Due comandi mostrano il certificato e la catena di reindirizzamenti:

curl -sSI https://bank.example/ | head -5
openssl s_client -connect bank.example:443 -servername bank.example < /dev/null 2>/dev/null | openssl x509 -noout -subject -dates

Se il certificato nomina un altro host, fermati. Se l’orologio è sbagliato, correggilo prima di riprovare. Se un reindirizzamento ti manda su HTTP semplice, trattalo come un errore del sito e non come una ragione per disattivare la convalida. L’avviso del browser esiste perché l’alternativa è indovinare quale endpoint ha ricevuto la tua password.