Што шифрира тунелот, а што остава читливо

Вашиот тунел работи, едно јазиче покажува зелено катанче, а обична HTTP страница во друго јазиче и понатаму предупредува дека врската не е безбедна. Оваа комбинација ги збунува луѓето зашто двете заштити покриваат различни растојанија. VPN ја штити сообраќајот меѓу своите крајни точки, а по излезот сообраќајот повторно станува обичен. HTTPS штити една врска до самата веб-страница. Ставањето на овие два факти еден до друг ги објаснува повеќето прашања за тоа што VPN навистина го крие.

Што покрива тунелот всушност

Меѓу клиентот и VPN партнерот, набљудувачот гледа шифрирани бајти, а не читливо барање. Тоа го покрива сегментот што тунелот го преминува, а тоа е обично делот што вие не го контролирате. Не се протега до врската меѓу излезот на VPN и веб-страницата, бидејќи тунелот заврши на излезот. Бајтите повторно се читливи од моментот кога тунелот завршува. Ништо во ова не е погрешна конфигурација.

Излезот е машина што дешифрира и проследува, а токму за тоа служи VPN. Сето она што го проследува е видливо за неа во формата во која го примила, па обичното HTTP барање останува обичен текст од излезот натаму.

Читајте го ова како својство, а не како недостаток. Шифрирањето е ограничено на една патека, а патеката завршува таму каде што почнува услугата.

Клучеви, nonce и интегритет со едноставни зборови

Тековниот сообраќај е заштитен со симетрична криптографија, а двата краја изведуваат или добиваат клучен материјал за време на ракувањето. Автентифицираното шифрирање, опишано општо во RFC 5116, дава доверливост и интегритет во една конструкција. Примачот ги отфрла изменетите бајти наместо едноставно да не може да ги прочита, и токму тоа луѓето го забораваат кога мислат дека шифрирањето значи мешање.

Клучевите доаѓаат од таа размена, а не од лозинката внесена при најава. Лозинката автентифицира идентитет, а потоа протоколот воспоставува сесиски материјал. Ефемерната размена на клучеви дава тајност кон напред, па снимената сесија останува нечитлива дури и ако долгорочен клуч подоцна протече.

Голем број во спецификација не одговара на ниту едно од тие прашања, а споредувањето броеви меѓу неповрзани алгоритми не е рангирање. Прашајте наместо тоа што дава размената на клучеви.

Каде завршува тунелот

Крајната точка што го завршува тунелот може да чита што проследува. Тоа исто важи за корпоративна порта, комерцијален давател и самостојно хостиран сервер. Тоа е дизајнот, а не негов недостаток. Силната криптографија не може да спречи компромитирана крајна точка да чита обичен текст што пристигнува кај неа, зашто заштитата запира токму на крајната точка.

HTTPS продолжува по таа точка, затоа една страница може да биде безбедна на непријателска мрежа дури и без VPN. Двете заштити се преклопуваат на првиот сегмент и само една од нив продолжува по излезот.

Затоа и слабеењето на проверката на сертификатот за врската да проработи не е тест на тунелот. Тоа исклучува друга заштита и ве остава со помалку отколку што имавте на почетокот.

Зошто анонимноста е друг производ

Адресите, времето и обемот остануваат видливи надвор од тунелот. Набљудувачот може да види дека сообраќајот тече кон крајна точка на VPN, приближно колку и кога. Содржината може да е нечитлива додека шемата и понатаму е информативна.

Давателот исто така седи на друго место од вашата мрежа, што е промена на набљудувачот, а не отстранување на набљудувањето. Колачињата, најавите и идентификаторите на сметката работат исто како порано, бидејќи тунелот никогаш не ветил дека ќе ги менува.

Изберете давател според неговата политика за евидентирање и јурисдикцијата ако тоа е условот, а потоа прочитајте ја самата политика. Маркетинг страниците ретко одговараат на тоа прашање така што некој може да го провери.

Проверете го тунелот и страницата одделно

Прво проверете го тунелот, за да знаете која заштита ја тестирате. Потоа проверете го сопствениот пренос на страницата и споредете ги двата резултата наместо да претпоставувате дека едниот го подразбира другиот. Тунел што пренесува обичен HTTP и страница што служи HTTPS и двете го прават точно она за што се конфигурирани.

Извршете ги проверките кон домаќин што ви е дозволено да го тестирате и читајте го излезот, а не резимето.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

Кога тунелот е активен и страницата е HTTPS, имате две заштити на првиот сегмент и една на вториот. Кога страницата е обичен HTTP, вториот сегмент е читлив за секој што е таму, вклучително излезот што го проследил барањето. Знаењето која од двете недостасува е целата дијагноза и за тоа требаат две наредби, а не нов клиент.