VPN და Tor HTTPS-ს არ ცვლიან: სად მთავრდება თითოეული შრე
გვირაბი საკუთარ პარტნიორთან მთავრდება, ხოლო Tor-ის წრედი — გამსვლელ რელეზე. მხოლოდ HTTPS აღწევს საიტამდე, ამიტომ ღია ფორმა კითხვადი რჩება.
VPN და Tor-ის წრედი ორივე თქვენს ტრაფიკს მოგზაურობის ნაწილში შიფრავს. ორივე შიფრაციას წყვეტს საკუთარი არჩეული პარტნიორისთან. HTTPS არის ის შრე, რომელიც თავად საიტამდე აღწევს, და მის წინ არც ერთი გვირაბი არ აქცევს ღია ფორმის გაგზავნას დაცულად. თითოეული შრის ბოლო წერტილამდე მიყოლა ამას ცხადყოფს.
სამი შრე, სამი განსხვავებული საბოლოო წერტილი
ჩვეულებრივი VPN თავის გვირაბს VPN სერვერზე ამთავრებს. ყველაფერი თქვენს მოწყობილობასა და ამ სერვერს შორის გვირაბის შიგნითაა, ხოლო მის შემდეგ ყველაფერი — არა. Tor-ის წრედი იგივე გზით იქცევა სხვა პარტნიორთან და ქსელს გამსვლელ რელეზე ტოვებს, რომელიც თქვენს მოთხოვნას დანიშნულების ადგილზე გზავნის.
TLS საიტზე მთავრდება. სერტიფიკატი, რომელიც თქვენ შეამოწმეთ, ჰოსტის სახელს საიტის მიერ კონტროლირებულ გასაღებს უკავშირებს, ხოლო სესიის გასაღებები თქვენს ბრაუზერსა და ამ სერვერს შორის არსებობს. ეს საბოლოო წერტილი VPN სერვერისა და Tor-ის გასასვლელის მიღმაა.
ამრიგად, სამ შრეს სამი განსხვავებული ნდობის საზღვარი აქვს და მოთხოვნა რიგრიგობით ყველა მათგანს გადის. ერთის გაძლიერება დანარჩენებზე არაფერს ამბობს, და უკანასკნელი ერთადერთია, რომელშიც დანიშნულება მონაწილეობს.
რას ამჟღავნებს ბოლო ნახტომი
თუ აპლიკაცია ღია HTTP-ს იყენებს, გასასვლელის მიღმა არსებული შიგთავსი კითხვადია ყველასთვის, ვინც ამ ნახტომს მართავს. წინა გვირაბმა თავისი საქმე სრულყოფილად შეასრულა და ის უბრალოდ აღარ არსებობს. HTTP ფორმაში აკრეფილი მონაცემები ზუსტად იმ წერტილში ვლინდება, სადაც დაცვა დასრულდა.
| Layer | Terminates at | Who can read the request there |
|---|---|---|
| VPN tunnel | The VPN server you selected | The operator of that server, and anyone who can compel them |
| Tor circuit | An exit relay chosen by the network | The exit relay operator, for traffic that is not otherwise protected |
| HTTPS | The website's own TLS endpoint | The site itself, and no intermediary on the path |
სწორად შემოწმებული HTTPS-ის შემთხვევაში გზაზე მყოფი შუამავალი ვერ წაიკითხავს და ვერ ჩუმად შეცვლის აპლიკაციის შიგთავსს. ის მაინც ხედავს, რომ დაკავშირდით, როდის და რომელ მისამართზე, რადგან პაკეტის თავსართები მარშრუტიზებადი უნდა იყოს. შიგთავსის კონფიდენციალურობა და კავშირის შესახებ მეტამონაცემები სხვადასხვა თვისებაა, და მხოლოდ პირველს იძლევა TLS.
ანგარიშის იდენტობა კვლავ მესამე რამაა. ანგარიშში შესვლა გაცნობს თქვენ ამ სერვისს იმის მიუხედავად, რომელი გასასვლელი მისამართი გამოიყენეთ, ამიტომ გასასვლელი ქსელურ გზას იცავს და არა ანგარიშს. ეს განსხვავება უძლებს მის წინ არსებულ შრეთა ნებისმიერ რაოდენობას. გასასვლელების შეცვლა არასოდეს ცვლის იმას, რასაც შესული სესია ამჟღავნებს. სერვისმა იცოდა, ვინ ხართ, სანამ პირველი პაკეტი გავიდოდა.
ამ განლაგებაში არაფერი ფუჭდება მეორე გვირაბის დამატებით. იცვლება ის, თუ რომელი დამკვირვებელი ხედავს პირველ ნახტომს, და არა ის, დაშიფრულია თუ არა ბოლო ნახტომი.
თანმიმდევრობა ცვლის დამკვირვებლებს და არა საბოლოო წერტილს
VPN-ისა და Tor-ის ჯაჭვად დაკავშირება ქსელურ დონეზე იმის შეცვლის ლეგიტიმური გზაა, თუ ვინ რას ხედავს. VPN-ის ზედ Tor-ის გაშვება თქვენი წვდომის ქსელისგან მალავს იმ ფაქტს, რომ Tor-ს იყენებთ, ხოლო Tor-ის ზედ VPN-ის გაშვება თქვენს მისამართს მალავს VPN მომწოდებლისგან. ორივე თანმიმდევრობა საჯარო დოკუმენტაციაშია აღწერილი და ორივეს აქვს კომპრომისები წარმადობასა და ჩავარდნის ქცევაში.
არც ერთი თანმიმდევრობა არ აადგილებს TLS-ის საბოლოო წერტილს. ორივე შემთხვევაში ბრაუზერი კვლავ ამოწმებს სერტიფიკატს მოთხოვნილი ჰოსტის სახელისთვის, და ორივე შემთხვევაში HTTP მისამართი კვლავ ღიად აგზავნის თავის შიგთავსს ბოლო რელეს შემდეგ. კომპოზიცია ცვლის დამკვირვებელთა სიას; ის არ ცვლის შრეთა რაოდენობას დანიშნულების ადგილზე.
ამიტომ ჯაჭვის შესახებ რჩევები ჩვეულებრივ საფრთხის მოდელებს ეხება და არა ზოგად უსაფრთხოებას. უფრო გრძელი ჯაჭვი იმავე რამის უფრო ძლიერი ვერსია არ არის, და ის არ ცვლის იმ პროტოკოლს, რომელიც აპლიკაციამ აირჩია.
curl -sSI https://example.net | head -3
openssl s_client -connect example.net:443 -servername example.net -briefორივე ბრძანება აჩვენებს შრეს, რომელიც დანიშნულების ადგილზეა მნიშვნელოვანი. მეორე ბეჭდავს შეთანხმებულ პროტოკოლს, არც ერთ გვირაბს არ რთავს. არც ერთი არ გეუბნებათ არაფერს თქვენ მიერ გამოყენებულ გასასვლელზე.
შეინარჩუნეთ შემოწმება მუშა, სანამ ხარვეზს ეძებთ
სერტიფიკატის გაფრთხილება ინფორმაციაა იმ კავშირზე, რომელსაც ახლა ამყარებთ. ის შეიძლება ნიშნავდეს ჰოსტის სახელის შეუსაბამობას, საათის პრობლემას, არასანდო ჯაჭვს ან ჩარევის მცდელობას. მუდმივი გამონაკლისის დამატება იმის გამო, რომ VPN დაკავშირებულია, აშორებს ერთადერთ სიგნალს, რომელიც ამ შემთხვევებს გაარჩევდა.
Tor Browser-ის უსაფრთხო კავშირის ფუნქციები და მისი გაფრთხილებები იმავე მიზეზით არსებობს, და მათი გამორთვა გვერდის ჩატვირთვისთვის ხილულ ჩავარდნას უხილავით ცვლის. თუ საიტამდე გამონაკლისის გარეშე მიღწევა შეუძლებელია, პატიოსანი დასკვნა ის არის, რომ კავშირი შეუმოწმებელია, და არა ის, რომ გვირაბმა ის უსაფრთხო გახადა.
შიფრაცია არც განზრახვაზე ამბობს რამეს. მოტყუებულ საიტთან სწორი HTTPS კავშირი თქვენს მონაცემებს სრული კონფიდენციალურობით აწვდის ამ საიტს. შეამოწმეთ მისამართი და ის, რასაც აგზავნით, და არა მხოლოდ ბოქლომის არსებობა.
Onion სერვისები ნამდვილად სხვა მოდელია. მათამდე Tor ქსელით აღწევენ ჩვეულებრივი საჯარო გასასვლელის გარეშე, რაც არ არის იგივე, რაც Tor-ით საჯარო საიტზე შესვლა. მოეპყარით ამას ცალკე შემთხვევად, საკუთარი მოლოდინებით, და არა იმავე ვიზიტის უფრო ძლიერ ვერსიად.
წესი, რომელიც ნებისმიერ კონფიგურაციას უძლებს, მოკლეა. შეინარჩუნეთ ბრაუზერის შემოწმება უცვლელად. შეაფასეთ თითოეული შრე იმით, სადაც ის რეალურად მთავრდება.