Ką tunelis užšifruoja, o ką palieka įskaitomą

Jūsų tunelis veikia, vienoje kortelėje rodoma žalia spyna, o paprastas HTTP puslapis kitoje kortelėje vis dar įspėja, kad ryšys nėra saugus. Šis derinys klaidina žmones, nes abi apsaugos apima skirtingus atstumus. VPN apsaugo srautą tarp savo galinių taškų, o už išėjimo srautas vėl tampa paprastas. HTTPS apsaugo vieną ryšį iki svetainės. Sudėjus šiuos du faktus paaiškėja dauguma klausimų apie tai, ką VPN iš tikrųjų slepia.

Ką tunelis iš tikrųjų apima

Tarp kliento ir VPN partnerio stebėtojas mato užšifruotus baitus, o ne įskaitomą užklausą. Tai apima atkarpą, kurią kerta tunelis, ir tai paprastai yra dalis, kurios jūs nevaldote. Tai nesiekia jungties tarp VPN išėjimo ir svetainės, nes tunelis baigėsi išėjime. Baitai vėl tampa įskaitomi nuo to momento, kai tunelis baigiasi. Niekas čia nėra klaidinga konfigūracija.

Išėjimas yra mašina, kuri iššifruoja ir persiunčia, ir būtent tam VPN ir skirtas. Viskas, ką ji persiunčia, jai matoma tokia forma, kokia buvo gauta, todėl paprasta HTTP užklausa nuo išėjimo lieka paprastu tekstu.

Skaitykite tai kaip savybę, o ne kaip trūkumą. Šifravimas apribotas vienu keliu, o kelias baigiasi ten, kur prasideda paslauga.

Raktai, nonce ir vientisumas paprastais žodžiais

Vykstantis srautas apsaugomas simetrine kriptografija, o abu galai rankos paspaudimo metu išveda arba gauna raktų medžiagą. Autentifikuotas šifravimas, kurį bendrai apibūdina RFC 5116, suteikia konfidencialumą ir vientisumą vienoje konstrukcijoje. Gavėjas atmeta pakeistus baitus, o ne tiesiog nepajėgia jų perskaityti, ir būtent tai žmonės pamiršta manydami, kad šifravimas reiškia sumaišymą.

Raktai ateina iš to mainų, o ne iš prisijungiant įvesto slaptažodžio. Slaptažodis autentifikuoja tapatybę, o tada protokolas nustato sesijos medžiagą. Efemeriški raktų mainai suteikia slaptumą į priekį, todėl įrašyta sesija lieka neįskaitoma, net jei ilgalaikis raktas vėliau nuteka.

Didelis skaičius specifikacijoje neatsako nė į vieną iš šių klausimų, o skaičių palyginimas tarp nesusijusių algoritmų nėra reitingas. Vietoj to paklauskite, ką suteikia raktų mainai.

Kur baigiasi tunelis

Galinis taškas, kuris užbaigia tunelį, gali skaityti tai, ką persiunčia. Tai vienodai galioja įmonės tinklų vartams, komerciniam tiekėjui ir savarankiškai talpinamam serveriui. Tai dizainas, o ne jo trūkumas. Stipri kriptografija negali sutrukdyti kompromituotam galiniam taškui skaityti paprasto teksto, kuris į jį patenka, nes būtent galiniame taške apsauga sustoja.

HTTPS tęsiasi už tos vietos, todėl svetainė gali būti saugi priešiškame tinkle net ir be VPN. Abi apsaugos persidengia pirmoje atkarpoje, o po išėjimo tęsiasi tik viena iš jų.

Štai kodėl sertifikatų tikrinimo susilpninimas, kad ryšys veiktų, nėra tunelio testas. Tai išjungia kitą apsaugą ir palieka jus su mažiau nei pradžioje.

Kodėl anonimiškumas yra kitas produktas

Adresai, laikas ir apimtis išlieka stebimi už tunelio. Stebėtojas gali matyti, kad srautas teka į VPN galinį tašką, maždaug kiek ir kada. Turinys gali būti neįskaitomas, kol modelis vis dar informatyvus.

Tiekėjas taip pat yra kitoje vietoje nei jūsų tinklas, ir tai yra stebėtojo pasikeitimas, o ne stebėjimo pašalinimas. Slapukai, prisijungimai ir paskyrų identifikatoriai veikia lygiai taip pat kaip anksčiau, nes tunelis niekada nežadėjo jų keisti.

Jei tai yra reikalavimas, rinkitės tiekėją pagal jo registravimo politiką ir jurisdikciją, o tada perskaitykite pačią politiką. Rinkodaros puslapiai retai atsako į šį klausimą taip, kad kas nors galėtų patikrinti.

Tikrinkite tunelį ir svetainę atskirai

Pirmiausia patikrinkite tunelį, kad žinotumėte, kurią apsaugą testuojate. Tada patikrinkite pačios svetainės perdavimą ir palyginkite abu rezultatus, o ne manykite, kad vienas reiškia kitą. Tunelis, perduodantis paprastą HTTP, ir svetainė, teikianti HTTPS, abu daro būtent tai, kam buvo sukonfigūruoti.

Vykdykite patikras prieš prieglobos serverį, kurį testuoti jums leidžiama, ir skaitykite išvestį, o ne santrauką.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

Kai tunelis veikia ir svetainė yra HTTPS, pirmoje atkarpoje turite dvi apsaugas, o antroje vieną. Kai svetainė yra paprastas HTTP, antroji atkarpa yra įskaitoma visiems joje esantiems, įskaitant išėjimą, kuris persiuntė užklausą. Žinojimas, kurios iš dviejų trūksta, yra visa diagnozė, ir tam reikia dviejų komandų, o ne naujo kliento.