VPN ir Tor nepakeičia HTTPS: kur baigiasi kiekvienas sluoksnis

VPN ir Tor grandinė abu šifruoja jūsų srautą dalyje kelio. Abu nustoja jį šifruoti prie partnerio, kurį pasirenka patys. HTTPS yra sluoksnis, pasiekiantis pačią svetainę, ir joks tunelių kiekis prieš jį nepaverčia paprasto formos pateikimo apsaugotu. Kiekvieno sluoksnio sekimas iki taško, kuriame jis baigiasi, tai padaro akivaizdu.

Trys sluoksniai, trys skirtingi galiniai taškai

Įprastas VPN baigia savo tunelį VPN serveryje. Viskas tarp jūsų įrenginio ir to serverio yra tunelio viduje, o viskas po jo – ne. Tor grandinė elgiasi taip pat su kitu partneriu ir palieka tinklą išėjimo relėje, kuri perduoda jūsų užklausą paskirties vietai.

TLS baigiasi svetainėje. Jūsų patikrintas sertifikatas susieja prieglobos vardą su raktu, kurį kontroliuoja svetainė, o sesijos raktai egzistuoja tarp jūsų naršyklės ir to serverio. Tas galinis taškas yra už VPN serverio ir Tor išėjimo.

Taigi trys sluoksniai turi tris skirtingas pasitikėjimo ribas, o užklausa iš eilės praeina per visus. Vieno sustiprinimas nieko nesako apie kitus, o paskutinis yra vienintelis, kuriame dalyvauja paskirties vieta.

Ką atskleidžia paskutinis šuolis

Jei programa naudoja paprastą HTTP, turinys už išėjimo yra įskaitomas kiekvienam, kas valdo tą šuolį. Ankstesnis tunelis savo darbą atliko nepriekaištingai ir jo tiesiog nebėra. Prisijungimo duomenys, įvesti į HTTP formą, atskleidžiami būtent tame taške, kuriame baigėsi apsauga.

Tinkamai patikrinto HTTPS atveju tarpininkas kelyje negali perskaityti ar tyliai pakeisti programos turinio. Jis vis tiek mato, kad prisijungėte, kada ir kuriuo adresu, nes paketų antraštės turi būti maršrutizuojamos. Turinio konfidencialumas ir metaduomenys apie ryšį yra skirtingos savybės, ir tik pirmąją suteikia TLS.

Paskyros tapatybė vėl yra trečias dalykas. Prisijungimas prie paskyros tave identifikuoja tai paslaugai nepaisant to, kokį išėjimo adresą naudojote, todėl išėjimas saugo tinklo kelią, o ne paskyrą. Šis skirtumas išlieka prieš jį esant bet kokiam sluoksnių skaičiui. Išėjimų keitimas niekada nekeičia to, ką atskleidžia prisijungusi sesija. Paslauga žinojo, kas esate, dar prieš išvykstant pirmajam paketui.

Šioje tvarkoje niekas nesugenda pridėjus antrą tunelį. Keičiasi tai, kuris stebėtojas mato pirmąjį šuolį, o ne tai, ar paskutinis šuolis užšifruotas.

Tvarka keičia stebėtojus, o ne galinį tašką

VPN ir Tor grandinimas yra teisėtas būdas pakeisti, kas ką mato tinklo lygmeniu. Tor paleidimas per VPN paslepia nuo jūsų prieigos tinklo faktą, kad naudojate Tor, o VPN paleidimas per Tor paslepia jūsų adresą nuo VPN teikėjo. Abi tvarkos aprašytos viešoje dokumentacijoje ir abi turi kompromisų našume bei gedimų elgsenoje.

Nė viena tvarka nepajudina TLS galinio taško. Abiem atvejais naršyklė vis tiek tikrina prašomo prieglobos vardo sertifikatą, ir abiem atvejais HTTP adresas vis dar siunčia savo turinį atvirai už paskutinės relės. Sudėtis keičia stebėtojų sąrašą; ji nekeičia sluoksnių skaičiaus paskirties vietoje.

Štai kodėl patarimai apie grandinimą paprastai susiję su grėsmių modeliais, o ne su saugumu apskritai. Ilgesnė grandinė nėra ta pati stipresnė versija, ir ji nepakeičia protokolo, kurį pasirinko programa.

curl -sSI https://example.net | head -3
openssl s_client -connect example.net:443 -servername example.net -brief

Abi komandos rodo sluoksnį, kuris svarbus paskirties vietoje. Antroji išspausdina suderintą protokolą neįtraukdama jokio tunelio. Nė viena nepasako nieko apie išėjimą, kurį naudojote.

Išlaikykite tikrinimą veikiant, kol ieškote problemų

Sertifikato įspėjimas yra informacija apie ryšį, kurį ketinate užmegzti. Jis gali reikšti prieglobos vardo neatitikimą, laikrodžio problemą, nepatikimą grandinę ar perėmimo bandymą. Nuolatinės išimties pridėjimas todėl, kad prijungtas VPN, pašalina vienintelį signalą, kuris būtų išskyręs šiuos atvejus.

Tor Browser saugaus ryšio funkcijos ir jo įspėjimai egzistuoja dėl tos pačios priežasties, o jų išjungimas tam, kad įkeltų puslapį, keičia matomą nesėkmę į nematomą. Jei į svetainę negalima patekti be išimties, sąžininga išvada yra ta, kad ryšys nepatikrinamas, o ne tai, kad tunelis padarė jį saugų.

Šifravimas taip pat nieko nesako apie ketinimus. Galiojantis HTTPS ryšys su apgaulinga svetaine perduoda jūsų duomenis tai svetainei visišku konfidencialumu. Tikrinkite adresą ir tai, ką pateikiate, o ne tik tai, ar yra spynelė.

Onion paslaugos yra iš tiesų kitas modelis. Jos pasiekiamos per Tor tinklą be įprasto viešo išėjimo, o tai nėra tas pats, kas patekti į viešą svetainę per Tor. Vertinkite tai kaip atskirą atvejį su savo lūkesčiais, o ne kaip stipresnę to paties apsilankymo versiją.

Taisyklė, kuri išlieka bet kokioje konfigūracijoje, yra trumpa. Išsaugokite naršyklės tikrinimą nepaliestą. Vertinkite kiekvieną sluoksnį pagal tai, kur jis iš tikrųjų baigiasi.