トンネルが暗号化するものと、読めるまま残るもの

トンネルは接続済みで、一方のタブには緑の鍵が表示され、もう一方のタブの平文 HTTP ページは今も接続が安全でないと警告しています。この組み合わせが人を混乱させるのは、二つの保護が異なる区間を覆っているからです。VPN は自身の端点の間の通信を守り、出口より先では通信は再び普通になります。HTTPS は一つの接続をウェブサイトまで守ります。この二つの事実を並べれば、VPN が実際に何を隠すのかという疑問の大半が説明できます。

トンネルが実際に覆う範囲

クライアントと VPN の相手との間で、観察者に見えるのは読める要求ではなく暗号化されたバイト列です。これはトンネルが通過する区間を覆い、通常はあなたが管理していない部分です。VPN の出口とウェブサイトの間の区間には及びません。トンネルは出口で終わっているからです。トンネルが終わった瞬間から、バイト列は再び読めるようになります。これは設定ミスではありません。

出口は復号して転送する機械であり、それこそが VPN の役割です。転送するものは受け取った形のまま出口に見えるので、平文 HTTP の要求は出口から先も平文のままです。

これは欠陥ではなく性質として読んでください。暗号化は経路に限定され、経路はサービスが始まる地点で終わります。

鍵・nonce・完全性を平易に

継続中の通信は共通鍵暗号で保護され、両端はハンドシェイクの間に鍵素材を導出または取得します。RFC 5116 が一般的に説明する認証付き暗号は、機密性と完全性を一つの構成で与えます。受信側は改変されたバイト列を単に読めないのではなく拒否するのであり、暗号化とは攪拌のことだと考えるときに忘れられがちなのがこの点です。

鍵はその交換から得られ、ログイン時に入力するパスワードから得られるのではありません。パスワードは身元を認証し、その後にプロトコルがセッション素材を確立します。一時的な鍵交換が前方秘匿性を与えるので、記録されたセッションは後で長期鍵が漏れても読めないままです。

仕様書に載る大きな数値はこうした問いのどれにも答えず、無関係なアルゴリズムの数値を比べることは順位付けではありません。代わりに、鍵交換が何を提供するのかを問うてください。

トンネルが終わる場所

トンネルを終端する端点は、転送する内容を読めます。これは企業ゲートウェイでも商用プロバイダーでも自己ホストのサーバーでも同じです。これは設計であり、欠陥ではありません。強い暗号でも、侵害された端点がそこに届く平文を読むことは防げません。保護が止まるのが端点だからです。

HTTPS はその地点より先も続きます。だからこそ、VPN がなくても敵対的なネットワーク上でサイトが安全であり得ます。二つの保護は最初の区間で重なり、出口の後も続くのは片方だけです。

接続を通すために証明書の検証を弱めることがトンネルの試験にならないのも同じ理由です。それは別の保護を切って、最初より少ない状態で終わらせます。

匿名性が別の製品である理由

アドレス、タイミング、量はトンネルの外では観察可能なままです。観察者は通信が VPN の端点へ流れていること、おおよその量と時刻を見られます。内容が読めなくても、パターンは依然として情報を持ちます。

プロバイダーはあなたのネットワークとは別の場所にあるので、これは観察者の変更であり、観察の除去ではありません。Cookie、ログイン、アカウント識別子は以前とまったく同じに機能します。トンネルはそれらを変えると約束したことはないからです。

それが要件なら、ログ方針と管轄でプロバイダーを選び、方針そのものを読みましょう。マーケティングページがこの問いに監査可能な形で答えることはほとんどありません。

トンネルとサイトを別々に確認する

まずトンネルを確認し、どの保護を試験しているのかを知ります。次にサイト自身の転送を確認し、一方が他方を含むと決めつけずに二つの結果を比べます。平文 HTTP を運ぶトンネルと HTTPS を提供するサイトは、どちらも設定どおりに動いています。

試験が許可されているホストに対して確認を実行し、要約ではなく出力を読みましょう。

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

トンネルが動いていてサイトが HTTPS なら、最初の区間に二つの保護があり、二番目には一つです。サイトが平文 HTTP なら、二番目の区間はそこにいる誰にでも読め、要求を転送した出口も含まれます。二つのうちどちらが欠けているかを知ることが診断のすべてであり、新しいクライアントではなく二つのコマンドで足ります。