Туннель нені шифрлайды және нені оқуға болатын күйде қалдырады

Туннеліңіз қосулы, бір қойынды жасыл құлып көрсетеді, ал басқа қойындыдағы қарапайым HTTP беті әлі де байланыстың қауіпсіз емес екенін ескертеді. Бұл үйлесім адамдарды шатастырады, өйткені екі қорғаныс түрлі қашықтықты қамтиды. VPN өз ұштарының арасындағы трафикті қорғайды, ал шығыстан әрі трафик қайтадан қарапайым болады. HTTPS бір байланысты веб-сайтқа дейін қорғайды. Осы екі фактіні қатар қою VPN шын мәнінде нені жасырады деген сұрақтардың көбін түсіндіреді.

Туннель шын мәнінде нені қамтиды

Клиент пен VPN серіктесінің арасында бақылаушы оқуға болатын сұрау емес, шифрланған байттарды көреді. Бұл туннель өтетін сегментті қамтиды, ал ол әдетте сіз бақыламайтын бөлік. Ол VPN шығысы мен веб-сайт арасындағы байланысқа дейін жетпейді, өйткені туннель шығыста аяқталды. Байттар туннель аяқталған сәттен бастап қайтадан оқуға болады. Мұнда қате конфигурация жоқ.

Шығыс — шифрды шешіп, әрі қарай жіберетін машина, VPN дәл осы үшін керек. Ол жібергеннің бәрі оған қандай күйде келсе, сол күйде көрінеді, сондықтан қарапайым HTTP сұрауы шығыстан әрі ашық мәтін күйінде қалады.

Мұны кемшілік емес, қасиет деп оқыңыз. Шифрлау бір жолмен шектелген, ал жол қызмет басталатын жерде аяқталады.

Кілттер, nonce және тұтастық қарапайым сөзбен

Ағымдағы трафик симметриялық криптографиямен қорғалады, ал екі жақ та қол алысу кезінде кілт материалын алады немесе шығарады. RFC 5116 жалпы сипаттайтын аутентификацияланған шифрлау бір құрылымда құпиялылық пен тұтастық береді. Қабылдаушы өзгертілген байттарды жай ғана оқи алмау емес, кері қайтарады, және адамдар шифрлауды араластыру деп ойлағанда дәл осыны ұмытады.

Кілттер сол алмасудан келеді, кіру кезінде терілген құпиясөзден емес. Құпиясөз жеке басты аутентификациялайды, содан кейін протокол сессия материалын орнатады. Эфемерлік кілт алмасуы алға қарай құпиялылық береді, сондықтан жазылған сессия ұзақ мерзімді кілт кейін тарап кетсе де оқылмайтын күйде қалады.

Спецификациядағы үлкен сан осы сұрақтардың ешқайсысына жауап бермейді, ал байланысы жоқ алгоритмдердің сандарын салыстыру рейтинг емес. Оның орнына кілт алмасуы нені ұсынатынын сұраңыз.

Туннель қайда аяқталады

Туннельді аяқтайтын ұш ол жібергенді оқи алады. Бұл корпоративтік шлюзге, коммерциялық провайдерге және өзі орналастырған серверге бірдей қатысты. Бұл дизайн, оның кемшілігі емес. Күшті криптография бұзылған ұшқа оған келетін ашық мәтінді оқуға кедергі бола алмайды, өйткені қорғаныс дәл ұшта тоқтайды.

HTTPS осы нүктеден әрі жалғасады, сондықтан сайт VPN-сыз да дұшпандық желіде қауіпсіз бола алады. Екі қорғаныс бірінші сегментте қабаттасады және шығыстан кейін олардың тек біреуі жалғасады.

Байланыс жұмыс істесін деп сертификат тексеруін әлсірету туннельдің тесті емес. Ол басқа қорғанысты өшіреді және сізді бастағаныңыздан кем күйде қалдырады.

Неге анонимдік басқа өнім

Мекенжайлар, уақыт және көлем туннельден тыс бақыланатын күйде қалады. Бақылаушы трафиктің VPN ұшына ағып жатқанын, шамамен қанша және қашан екенін көре алады. Мазмұн оқылмайтын болуы мүмкін, ал үлгі әлі де ақпараттық.

Провайдер де сіздің желіңізден басқа жерде отырады, бұл бақылаушының ауысуы, бақылауды жою емес. Cookie файлдары, кірулер және тіркелгі идентификаторлары бұрынғыша жұмыс істейді, өйткені туннель оларды өзгертуге ешқашан уәде бермеген.

Егер талап сол болса, провайдерді оның журналдау саясаты мен юрисдикциясы бойынша таңдап, содан кейін саясаттың өзін оқыңыз. Маркетингтік беттер бұл сұраққа біреу тексере алатындай жауап бере бермейді.

Туннельді және сайтты бөлек тексеріңіз

Алдымен туннельді тексеріңіз, сонда қай қорғанысты сынап жатқаныңызды білесіз. Содан кейін сайттың өз тасымалын тексеріңіз және бірі екіншісін білдіреді деп ойлаудың орнына екі нәтижені салыстырыңыз. Қарапайым HTTP тасымалдайтын туннель мен HTTPS ұсынатын сайт екеуі де конфигурацияланғанын дәл орындайды.

Тексерулерді сынауға рұқсат етілген хостқа қарсы жүргізіңіз және қорытындыны емес, шығысты оқыңыз.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

Туннель қосулы және сайт HTTPS болса, бірінші сегментте екі қорғанысыңыз, екіншісінде біреуі бар. Сайт қарапайым HTTP болса, екінші сегмент ондағы кез келген адамға, соның ішінде сұрауды жіберген шығысқа да оқуға болады. Осы екеуінің қайсысы жетіспейтінін білу — бүкіл диагностика, және оған жаңа клиент емес, екі команда керек.