VPN и Tor не го заменуваат HTTPS: каде завршува секој слој

VPN и Tor-кругот и двата го шифрираат вашиот сообраќај за дел од патот. И двата престануваат да го шифрираат кај партнер што самите го избираат. HTTPS е слојот што стигнува до самиот сајт, и никаква количина на тунелирање пред него не го претвора обичното поднесување форма во заштитено. Следењето на секој слој до точката каде завршува го прави тоа очигледно.

Три слоја, три различни крајни точки

Конвенционален VPN го завршува својот тунел на VPN-серверот. Сѐ помеѓу вашиот уред и тој сервер е внатре во тунелот, а сѐ по него не е. Tor-кругот се однесува исто со друг партнер, излегувајќи од мрежата кај излезен реле што го препраќа вашето барање до одредиштето.

TLS завршува на сајтот. Сертификатот што го проверивте го врзува името на домаќинот со клуч што сајтот го контролира, а сесиските клучеви постојат помеѓу вашиот прелистувач и тој сервер. Таа крајна точка е зад и VPN-серверот и Tor-излезот.

Значи трите слоја имаат три различни граници на доверба, а барањето последователно поминува низ сите. Зајакнувањето на еден не кажува ништо за другите, а последниот е единствениот во кој учествува одредиштето.

Што открива последниот скок

Ако апликацијата користи обичен HTTP, содржината зад излезот е читлива за секој што го управува тој скок. Претходниот тунел ја заврши својата работа совршено и едноставно повеќе го нема. Акредитивите внесени во HTTP-форма се изложени токму во точката каде заврши заштитата.

Со правилно проверен HTTPS, посредникот на патот не може да ја прочита или тивко да ја измени содржината на апликацијата. Тој сѐ уште гледа дека сте се поврзале, кога и на која адреса, бидејќи заглавијата на пакетите мора да бидат рутирачки. Доверливоста на содржината и метаподатоците за врската се различни својства, и само првото го дава TLS.

Идентитетот на сметката е повторно трето нешто. Најавувањето на сметка ве идентификува на таа услуга без оглед на излезната адреса што сте ја користеле, затоа излезот го штити мрежниот пат, а не сметката. Таа разлика издржува каков било број слоеви пред неа. Менувањето излези никогаш не го менува она што го открива најавената сесија. Услугата знаеше кој сте пред да замине првиот пакет.

Ништо во овој распоред не се расипува со додавање втор тунел. Менува се тоа кој набљудувач го гледа првиот скок, а не дали последниот скок е шифриран.

Редоследот ги менува набљудувачите, не крајната точка

Врзувањето на VPN и Tor во ланец е легитимен начин да се смени кој што гледа на мрежно ниво. Вртењето Tor врз VPN го крие од вашата пристапна мрежа фактот дека користите Tor, додека вртењето VPN врз Tor ја крие вашата адреса од давателот на VPN. Двата редоследа се опишани во јавна документација и двата имаат компромиси во перформансите и однесувањето при дефект.

Ниту еден редослед не ја поместува TLS-крајната точка. Во двата случаи прелистувачот сѐ уште проверува сертификат за бараното име на домаќин, и во двата случаи HTTP-адресата сѐ уште ја праќа својата содржина отворено зад последниот реле. Составот го менува списокот на набљудувачи; не го менува бројот на слоеви кај одредиштето.

Затоа советите за врзување во ланец обично се однесуваат на модели на закани, а не на безбедност воопшто. Подолг ланец не е посилна верзија на истото, и не е замена за протоколот што го избрала апликацијата.

curl -sSI https://example.net | head -3
openssl s_client -connect example.net:443 -servername example.net -brief

Двете наредби го покажуваат слојот што е важен кај одредиштето. Втората го печати договорениот протокол без да вклучи никаков тунел. Ниту една не ви кажува ништо за излезот што сте го користеле.

Одржете ја проверката во функција додека решавате проблеми

Предупредувањето за сертификат е информација за врската што треба да ја воспоставите. Може да значи несовпаѓање на името на домаќинот, проблем со часовникот, недоверлив ланец или обид за пресретнување. Додавањето трајно исклучување затоа што е поврзан VPN го отстранува единствениот сигнал што би ги разликувал тие случаи.

Функциите за безбедна врска на Tor Browser и неговите предупредувања постојат од истата причина, а нивното исклучување за да се вчита страница заменува видлив неуспех за невидлив. Ако до сајт не може да се стигне без исклучување, чесниот заклучок е дека врската не може да се провери, а не дека тунелот ја направил безбедна.

Шифрирањето исто така не кажува ништо за намерата. Валидна HTTPS-врска со измамнички сајт ги доставува вашите податоци до тој сајт со совршена доверливост. Проверете ја адресата и она што го поднесувате, не само дали има катанец.

Onion-услугите се навистина различен модел. До нив се стигнува преку Tor-мрежата без вообичаен јавен излез, што не е исто како пристап до јавен сајт преку Tor. Третирајте го тоа како одделен случај со свои очекувања, а не како посилна верзија на истата посета.

Правилото што го преживува секој распоред е кратко. Чувајте ја проверката на прелистувачот недопрена. Проценете го секој слој според тоа каде навистина завршува.