Wat den Tunnel verschlësselt a wat liesbar bleift

Ären Tunnel ass un, een Tab weist e gréngen Schlass, an eng normal HTTP-Säit an engem aneren Tab warnt nach ëmmer, datt d'Verbindung net sécher ass. Dës Kombinatioun verwirrt d'Leit, well déi zwou Protektiounen ënnerschiddlech Distanze decken. E VPN schützt den Traffic tëscht sengen eegenen Endpunkten, an hannert dem Ausgang ass den Traffic nees normal. HTTPS schützt eng Verbindung bis op d'Websäit. Wann een déi zwou Tatsaachen niefteneen setzt, erkläert dat déi meescht Froen doriwwer, wat e VPN tatsächlech verstoppt.

Wat den Tunnel tatsächlech deckt

Tëscht dem Client an dem VPN-Peer gesäit en Observateur verschlësselt Byten an net eng liesbar Ufro. Dat deckt de Segment, deen den Tunnel duerchkräizt, an dat ass normalerweis deen Deel, deen Dir net kontrolléiert. Et geet net bis op d'Verbindung tëscht dem VPN-Ausgang an der Websäit, well den Tunnel um Ausgang opgehalen huet. D'Byten si liesbar vum Moment un, wou den Tunnel ophält. Näischt dovun ass eng falsch Konfiguratioun.

Den Ausgang ass eng Maschinn, déi entschlësselt an weidergëtt, an dat ass genau dat, wofir e VPN do ass. Alles wat se weidergëtt, ass fir si an der Form ze gesinn, an där se et kritt huet, dofir bleift eng normal HTTP-Ufro vum Ausgang un Klartext.

Liest dat als Eegenschaft an net als Feeler. D'Verschlësselung ass op ee Wee limitéiert, an de Wee hält do op, wou den Déngscht ufänkt.

Schlësselen, Noncen an Integritéit an einfache Wierder

De lafende Traffic gëtt mat symmetrescher Kryptographie geschützt, an déi zwou Säiten ofleeden oder kréien de Schlësselmaterial beim Handshake. Authentifiéiert Verschlësselung, déi an der RFC 5116 allgemeng beschriwwe gëtt, gëtt Vertraulechkeet an Integritéit an enger Konstruktioun. Den Empfänger refuséiert geännert Byten, amplaz just net fäeg ze sinn, se ze liesen, an dat ass deen Deel, deen d'Leit vergiessen, wann se mengen, Verschlësselung heescht duercherneen ze bréngen.

D'Schlëssele kommen aus deem Austausch, net aus dem Passwuert, dat beim Login agetippt gëtt. D'Passwuert authentifiéiert eng Identitéit, an duerno setzt de Protokoll de Sessiounsmaterial op. Ephemere Schlësselaustausch gëtt Forward Secrecy, dofir bleift eng opgeholl Sessioun onliesbar, och wann e laangfristege Schlëssel méi spéit leckt.

Eng grouss Zuel an enger Spezifikatioun beäntwert keng vun dëse Froen, an Zuelen tëscht onofhängegen Algorithmen ze vergläichen ass keng Ranking. Frot amplaz, wat den Schlësselaustausch bitt.

Wou den Tunnel ophält

Den Endpunkt, deen den Tunnel ofschléisst, kann liesen, wat en weidergëtt. Dat gëllt gläichermoossen fir en Unternehmens-Gateway, e kommerziellen Ubidder an en eegene Server. Et ass den Design, keen Defekt dran. Staark Kryptographie kann en kompromittéierten Endpunkt net dovun ofhalen, Klartext ze liesen, deen do ukënnt, well den Endpunkt ass, wou de Schutz ophält.

HTTPS geet iwwer dee Punkt eraus weider, dofir kann eng Säit och ouni VPN an engem feindleche Netzwierk sécher sinn. Déi zwou Protektiounen iwwerlappen um éischte Segment, an nëmmen eng vun hinnen geet nom Ausgang weider.

Dofir ass d'Schwächung vun der Zertifikatsprüfung, fir eng Verbindung zum Lafen ze kréien, keen Test vum Tunnel. Et schalt eng aner Protektioun aus a léisst Iech mat manner, wéi Dir ugefaang hutt.

Firwat Anonymitéit en anert Produkt ass

Adressen, Timing a Volumen bleiwen ausserhalb vum Tunnel observéierbar. En Observateur kann gesinn, datt Traffic op en Endpunkt vun engem VPN fléisst, ongeféier wéi vill a wéini. Den Inhalt kann onliesbar sinn, während d'Muster nach informativ ass.

Den Ubidder sëtzt och op enger anerer Plaz wéi Äert eegent Netzwierk, wat eng Ännerung vum Observateur ass an net ewechhuele vun der Observatioun. Cookien, Loginen an Account-Identifianten funktionéieren genau wéi virdrun, well den Tunnel ni versprach huet, se ze änneren.

Wielt en Ubidder no senger Logging-Politik a Juridiktioun, wann dat d'Konditioun ass, a liest dann d'Politik selwer. Marketing-Säiten beäntweren déi Fro selten esou, datt een et iwwerpréiwe kann.

Préift den Tunnel an d'Säit getrennt

Préift fir d'éischt den Tunnel, fir ze wëssen, wéi eng Protektioun Dir testt. Préift dann den eegenen Transport vun der Säit a vergläicht déi zwou Resultater, amplaz unzehuelen, datt dat engt dat anert ëmfaasst. En Tunnel, deen normale HTTP dréit, an eng Säit, déi HTTPS servéiert, maachen allebéid genau dat, wofir se konfiguréiert goufen.

Fëllt d'Préifungen géint en Host aus, deen Dir däerf testen, a liest d'Ausgab an net d'Zesummefaassung.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

Wann den Tunnel un ass an d'Säit HTTPS ass, hutt Dir zwou Protektiounen um éischte Segment an eng um zweete. Wann d'Säit normal HTTP ass, ass dat zweet Segment fir jiddereen dorop liesbar, och fir den Ausgang, deen d'Ufro weidergëtt. Ze wëssen, wéi eng vun den zwou feelt, ass déi ganz Diagnos, an dat brauch zwou Kommanden amplaz vun engem neie Client.