რას შიფრავს გვირაბი და რას ტოვებს წაკითხვადს

თქვენი გვირაბი ჩართულია, ერთი ჩანართი მწვანე ბოქლომს აჩვენებს, ხოლო მეორე ჩანართში ჩვეულებრივი HTTP გვერდი კვლავ გაფრთხილებთ, რომ კავშირი უსაფრთხო არ არის. ეს შერწყმა ხალხს აბნევს, რადგან ორი დაცვა სხვადასხვა მანძილს ფარავს. VPN იცავს ტრაფიკს საკუთარ ბოლოებს შორის, ხოლო გასასვლელის იქით ტრაფიკი ისევ ჩვეულებრივი ხდება. HTTPS იცავს ერთ კავშირს ვებსაიტამდე. ამ ორი ფაქტის გვერდიგვერდ დაყენება ხსნის კითხვების უმეტესობას იმაზე, თუ რას მალავს VPN სინამდვილეში.

რას ფარავს გვირაბი სინამდვილეში

კლიენტსა და VPN-ის პარტნიორს შორის დამკვირვებელი ხედავს დაშიფრულ ბაიტებს და არა წაკითხვად მოთხოვნას. ეს ფარავს იმ მონაკვეთს, რომელსაც გვირაბი კვეთს, და ეს ჩვეულებრივ ის ნაწილია, რომელსაც თქვენ არ აკონტროლებთ. ის არ ვრცელდება VPN-ის გასასვლელსა და ვებსაიტს შორის კავშირზე, რადგან გვირაბი გასასვლელზე დასრულდა. ბაიტები ისევ წაკითხვადია იმ მომენტიდან, როცა გვირაბი მთავრდება. ამაში არაფერია არასწორი კონფიგურაცია.

გასასვლელი მანქანაა, რომელიც გაშიფრავს და გადასცემს, და სწორედ ამისთვისაა VPN. ყველაფერი, რასაც გადასცემს, მისთვის ჩანს იმ ფორმით, რომლითაც მიიღო, ამიტომ ჩვეულებრივი HTTP მოთხოვნა გასასვლელიდან მოყოლებული ჩვეულებრივ ტექსტად რჩება.

წაიკითხეთ ეს თვისებად და არა ნაკლად. დაშიფვრა შემოიფარგლება ერთი გზით, და გზა მთავრდება იქ, სადაც სერვისი იწყება.

გასაღებები, nonce-ები და მთლიანობა მარტივი სიტყვებით

მიმდინარე ტრაფიკი დაცულია სიმეტრიული კრიპტოგრაფიით, და ორივე მხარე ხელის ჩამორთმევისას იღებს ან გამოიმუშავებს გასაღების მასალას. ავთენტიფიცირებული დაშიფვრა, რომელსაც RFC 5116 ზოგადად აღწერს, ერთ კონსტრუქციაში იძლევა კონფიდენციალურობას და მთლიანობას. მიმღები უარყოფს შეცვლილ ბაიტებს და არა უბრალოდ ვერ ახერხებს მათ წაკითხვას, და სწორედ ამას ივიწყებენ ადამიანები, როცა ფიქრობენ, რომ დაშიფვრა არევას ნიშნავს.

გასაღებები ამ გაცვლიდან მოდის და არა შესვლისას აკრეფილი პაროლიდან. პაროლი ავთენტიფიცირებს იდენტობას, შემდეგ კი პროტოკოლი ამყარებს სესიის მასალას. დროებითი გასაღების გაცვლა იძლევა წინ გამავალ საიდუმლოებას, ამიტომ ჩაწერილი სესია რჩება წაუკითხავი მაშინაც, თუ გრძელვადიანი გასაღები მოგვიანებით გაჟონავს.

დიდი რიცხვი სპეციფიკაციაში ამ კითხვებიდან არც ერთს არ პასუხობს, და დაუკავშირებელ ალგორითმებს შორის რიცხვების შედარება რეიტინგი არ არის. ამის ნაცვლად იკითხეთ, რას იძლევა გასაღების გაცვლა.

სად მთავრდება გვირაბი

ბოლო წერტილს, რომელიც გვირაბს ამთავრებს, შეუძლია წაიკითხოს ის, რასაც გადასცემს. ეს თანაბრად ეხება კორპორატიულ კარიბჭეს, კომერციულ პროვაიდერს და თვითგანლაგებულ სერვერს. ეს დიზაინია და არა მისი ნაკლი. ძლიერი კრიპტოგრაფია ვერ შეუშლის ხელს კომპრომეტირებულ ბოლო წერტილს წაიკითხოს მასთან მისული ღია ტექსტი, რადგან დაცვა სწორედ ბოლო წერტილზე ჩერდება.

HTTPS ამ წერტილის იქითაც გრძელდება, ამიტომ საიტი შეიძლება უსაფრთხო იყოს მტრულ ქსელშიც კი VPN-ის გარეშე. ორი დაცვა პირველ მონაკვეთზე გადაიფარება და გასასვლელის შემდეგ მხოლოდ ერთი გრძელდება.

ამიტომაც სერთიფიკატის შემოწმების შესუსტება იმისთვის, რომ კავშირი იმუშაოს, გვირაბის გამოცდა არ არის. ის თიშავს სხვა დაცვას და გტოვებთ იმაზე ნაკლებით, ვიდრე დასაწყისში გქონდათ.

რატომ არის ანონიმურობა სხვა პროდუქტი

მისამართები, დრო და მოცულობა გვირაბის გარეთ დაკვირვებადი რჩება. დამკვირვებელს შეუძლია ნახოს, რომ ტრაფიკი მიემართება VPN-ის ბოლო წერტილისკენ, დაახლოებით რამდენი და როდის. შიგთავსი შეიძლება წაუკითხავი იყოს, სანამ ნიმუში ჯერ კიდევ ინფორმაციულია.

პროვაიდერი თქვენი ქსელისგან განსხვავებულ ადგილას ზის, რაც დამკვირვებლის შეცვლაა და არა დაკვირვების მოცილება. Cookie-ები, შესვლები და ანგარიშის იდენტიფიკატორები ზუსტად ისე მუშაობს, როგორც ადრე, რადგან გვირაბს არასოდეს არ უპირებია მათი შეცვლა.

თუ ეს არის მოთხოვნა, აირჩიეთ პროვაიდერი მისი ჟურნალირების პოლიტიკისა და იურისდიქციის მიხედვით, შემდეგ წაიკითხეთ თავად პოლიტიკა. მარკეტინგული გვერდები იშვიათად პასუხობენ ამ კითხვას ისე, რომ ვინმემ შეძლოს მისი შემოწმება.

შეამოწმეთ გვირაბი და საიტი ცალ-ცალკე

ჯერ გადაამოწმეთ გვირაბი, რომ იცოდეთ რომელ დაცვას ამოწმებთ. შემდეგ გადაამოწმეთ საიტის საკუთარი ტრანსპორტი და შეადარეთ ორი შედეგი იმის ნაცვლად, რომ ჩათვალოთ ერთი მეორის შედეგად. ჩვეულებრივი HTTP-ის მატარებელი გვირაბი და HTTPS-ის მომწოდებელი საიტი ორივე ზუსტად იმას აკეთებს, რისთვისაც დაკონფიგურირდა.

შემოწმებები გაუშვით ჰოსტზე, რომლის გამოცდაც ნებადართულია, და წაიკითხეთ გამოსავალი და არა შეჯამება.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

როცა გვირაბი ჩართულია და საიტი HTTPS-ია, პირველ მონაკვეთზე ორი დაცვა გაქვთ და მეორეზე ერთი. როცა საიტი ჩვეულებრივი HTTP-ია, მეორე მონაკვეთი წაკითხვადია ყველასთვის, ვინც იქ არის, მათ შორის გასასვლელისთვის, რომელმაც მოთხოვნა გადასცა. იმის ცოდნა, თუ რომელია ამ ორიდან აკლია, მთელი დიაგნოზია და ორი ბრძანება სჭირდება და არა ახალი კლიენტი.