VPN un Tor neaizstāj HTTPS: kur beidzas katrs slānis

VPN un Tor ķēde abi šifrē jūsu datu plūsmu daļā ceļa. Abas pārstāj to šifrēt pie partnera, kuru izvēlas pašas. HTTPS ir slānis, kas sasniedz pašu vietni, un neviens tuneļu daudzums tā priekšā nepārvērš vienkāršu formas iesniegšanu aizsargātā. Katra slāņa izsekošana līdz punktam, kur tas beidzas, to padara acīmredzamu.

Trīs slāņi, trīs dažādi galapunkti

Parasts VPN beidz savu tuneli VPN serverī. Viss starp jūsu ierīci un šo serveri ir tuneļa iekšpusē, un viss pēc tā nav. Tor ķēde uzvedas tāpat ar citu partneri un atstāj tīklu pie izejas releja, kas pārsūta jūsu pieprasījumu galamērķim.

TLS beidzas vietnē. Sertifikāts, kuru jūs pārbaudījāt, saista resursdatora nosaukumu ar atslēgu, ko kontrolē vietne, un sesijas atslēgas pastāv starp jūsu pārlūku un šo serveri. Šis galapunkts atrodas aiz gan VPN servera, gan Tor izejas.

Tātad trim slāņiem ir trīs dažādas uzticēšanās robežas, un pieprasījums pēc kārtas iziet cauri visiem. Viena stiprināšana neko nepasaka par pārējiem, un pēdējais ir vienīgais, kurā piedalās galamērķis.

Ko atklāj pēdējais lēciens

Ja lietojumprogramma izmanto vienkāršu HTTP, saturs aiz izejas ir lasāms ikvienam, kas pārvalda šo lēcienu. Iepriekšējais tunelis savu darbu veica nevainojami, un tā vienkārši vairs nav. HTTP formā ierakstītie akreditācijas dati tiek atklāti tieši tajā punktā, kur aizsardzība beidzās.

Ar pareizi pārbaudītu HTTPS starpnieks ceļā nevar nolasīt vai klusi mainīt lietojumprogrammas saturu. Tas joprojām redz, ka jūs savienojāties, kad un uz kuru adresi, jo pakešu galvenes ir jābūt maršrutējamām. Satura konfidencialitāte un metadati par savienojumu ir dažādas īpašības, un tikai pirmo nodrošina TLS.

Konta identitāte atkal ir trešā lieta. Pieteikšanās kontā jūs identificē šim pakalpojumam neatkarīgi no tā, kuru izejas adresi izmantojāt, tāpēc izeja aizsargā tīkla ceļu, nevis kontu. Šī atšķirība iztur jebkuru slāņu skaitu tās priekšā. Izejas maiņa nekad nemaina to, ko atklāj pieteikusies sesija. Pakalpojums zināja, kas jūs esat, pirms pirmais pakets aizgāja.

Šajā izkārtojumā nekas nesabrūk, pievienojot otru tuneli. Mainās tas, kurš novērotājs redz pirmo lēcienu, nevis tas, vai pēdējais lēciens ir šifrēts.

Secība maina novērotājus, nevis galapunktu

VPN un Tor ķēdēšana ir likumīgs veids, kā tīkla līmenī mainīt to, kas ko redz. Tor darbināšana virs VPN slēpj no jūsu piekļuves tīkla faktu, ka lietojat Tor, savukārt VPN darbināšana virs Tor slēpj jūsu adresi no VPN nodrošinātāja. Abas secības ir aprakstītas publiskā dokumentācijā, un abām ir kompromisi veiktspējā un kļūmju uzvedībā.

Neviena no secībām nepārvieto TLS galapunktu. Abos gadījumos pārlūks joprojām pārbauda sertifikātu pieprasītajam resursdatora nosaukumam, un abos gadījumos HTTP adrese joprojām sūta savu saturu atklāti aiz pēdējā releja. Sastāvs maina novērotāju sarakstu; tas nemaina slāņu skaitu galamērķī.

Tāpēc padomi par ķēdēšanu parasti attiecas uz draudu modeļiem, nevis uz drošību kopumā. Garāka ķēde nav tās pašas lietas stiprāka versija, un tā neaizstāj protokolu, kuru izvēlējās lietojumprogramma.

curl -sSI https://example.net | head -3
openssl s_client -connect example.net:443 -servername example.net -brief

Abas komandas parāda slāni, kas svarīgs galamērķī. Otrā izdrukā saskaņoto protokolu, neiesaistot nevienu tuneli. Neviena nepasaka jums neko par izeju, kuru izmantojāt.

Saglabājiet pārbaudi darbojamies, kamēr meklējat problēmas

Sertifikāta brīdinājums ir informācija par savienojumu, kuru gatavojaties izveidot. Tas var nozīmēt resursdatora nosaukuma neatbilstību, pulksteņa problēmu, neuzticamu ķēdi vai pārtveršanas mēģinājumu. Pastāvīga izņēmuma pievienošana tāpēc, ka ir pievienots VPN, noņem vienīgo signālu, kas būtu atšķīris šos gadījumus.

Tor Browser drošā savienojuma funkcijas un tā brīdinājumi pastāv tā paša iemesla dēļ, un to izslēgšana, lai lapa ielādētos, nomaina redzamu kļūmi pret neredzamu. Ja vietni nevar sasniegt bez izņēmuma, godīgais secinājums ir tāds, ka savienojumu nevar pārbaudīt, nevis ka tunelis to padarīja drošu.

Šifrēšana arī neko nepasaka par nodomu. Derīgs HTTPS savienojums ar maldinošu vietni nogādā jūsu datus šai vietnei ar pilnīgu konfidencialitāti. Pārbaudiet adresi un to, ko iesniedzat, nevis tikai to, vai ir aizslēgs.

Onion pakalpojumi ir patiešām cits modelis. Tiem piekļūst caur Tor tīklu bez parastas publiskas izejas, kas nav tas pats, kas piekļūt publiskai vietnei caur Tor. Uztveriet to kā atsevišķu gadījumu ar savām cerībām, nevis kā stiprāku tā paša apmeklējuma versiju.

Noteikums, kas iztur jebkuru konfigurāciju, ir īss. Saglabājiet pārlūka pārbaudi neskartu. Vērtējiet katru slāni pēc tā, kur tas patiešām beidzas.