VPN dan Tor tidak menggantikan HTTPS: di mana setiap lapisan berakhir

VPN dan litar Tor kedua-duanya menyulitkan trafik anda untuk sebahagian perjalanan. Kedua-duanya berhenti menyulitkannya di rakan sebaya yang mereka pilih sendiri. HTTPS ialah lapisan yang sampai ke laman itu sendiri, dan tiada jumlah terowong di hadapannya menukar penghantaran borang biasa menjadi terlindung. Menjejaki setiap lapisan hingga titik ia berakhir menjadikan perkara itu jelas.

Tiga lapisan, tiga titik akhir berbeza

VPN konvensional menamatkan terowongnya di pelayan VPN. Semua yang antara peranti anda dan pelayan itu berada di dalam terowong, dan semua selepasnya tidak. Litar Tor berkelakuan sama dengan rakan sebaya lain, meninggalkan rangkaian di geganti keluar yang memajukan permintaan anda ke destinasi.

TLS berakhir di laman. Sijil yang anda sahkan mengikat nama hos pada kunci yang dikawal oleh laman, dan kunci sesi wujud antara pelayar anda dan pelayan itu. Titik akhir itu terletak di luar kedua-dua pelayan VPN dan keluar Tor.

Jadi ketiga-tiga lapisan mempunyai tiga sempadan kepercayaan berbeza, dan satu permintaan melaluinya semua secara berturutan. Menguatkan satu tidak mengatakan apa-apa tentang yang lain, dan yang terakhir ialah satu-satunya tempat destinasi turut serta.

Apa yang didedahkan oleh lompatan terakhir

Jika aplikasi menggunakan HTTP biasa, kandungan di luar keluar boleh dibaca oleh sesiapa yang mengendalikan lompatan itu. Terowong sebelumnya melakukan tugasnya dengan sempurna dan ia semata-mata tidak ada lagi. Bukti kelayakan yang ditaip dalam borang HTTP terdedah tepat pada titik di mana perlindungan berakhir.

Dengan HTTPS yang disahkan dengan betul, perantara di laluan tidak boleh membaca atau mengubah kandungan aplikasi secara senyap. Ia masih melihat bahawa anda bersambung, bila, dan ke alamat mana, kerana pengepala paket mesti boleh dihalakan. Kerahsiaan kandungan dan metadata tentang sambungan ialah sifat berbeza, dan hanya yang pertama ialah apa yang diberikan TLS.

Identiti akaun ialah perkara ketiga sekali lagi. Log masuk ke akaun mengenal pasti anda kepada perkhidmatan itu tanpa mengira alamat keluar yang anda gunakan, jadi keluar melindungi laluan rangkaian dan bukan akaun. Perbezaan itu bertahan terhadap berapa pun lapisan di hadapannya. Menukar keluar tidak pernah mengubah apa yang didedahkan oleh sesi yang telah log masuk. Perkhidmatan itu sudah tahu siapa anda sebelum paket pertama berlepas.

Tiada apa-apa dalam susunan ini rosak dengan menambah terowong kedua. Yang berubah ialah pemerhati mana yang melihat lompatan pertama, bukan sama ada lompatan terakhir disulitkan.

Urutan mengubah pemerhati, bukan titik akhir

Merangkaikan VPN dan Tor ialah cara sah untuk mengubah siapa melihat apa pada peringkat rangkaian. Menjalankan Tor di atas VPN menyembunyikan fakta bahawa anda menggunakan Tor daripada rangkaian capaian anda, manakala menjalankan VPN di atas Tor menyembunyikan alamat anda daripada pembekal VPN. Kedua-dua urutan diterangkan dalam dokumentasi umum dan kedua-duanya mempunyai tolak ansur dalam prestasi dan tingkah laku kegagalan.

Tiada urutan yang menggerakkan titik akhir TLS. Dalam kedua-dua kes pelayar masih mengesahkan sijil untuk nama hos yang diminta, dan dalam kedua-dua kes alamat HTTP masih menghantar kandungannya secara terbuka di luar geganti terakhir. Komposisi mengubah senarai pemerhati; ia tidak mengubah bilangan lapisan di destinasi.

Itulah sebabnya nasihat tentang rangkaian cenderung tentang model ancaman dan bukan tentang keselamatan secara umum. Rantaian yang lebih panjang bukan versi yang lebih kuat bagi perkara yang sama, dan ia bukan pengganti protokol yang dipilih oleh aplikasi.

curl -sSI https://example.net | head -3
openssl s_client -connect example.net:443 -servername example.net -brief

Kedua-dua arahan menunjukkan lapisan yang penting di destinasi. Yang kedua mencetak protokol yang dirundingkan tanpa melibatkan mana-mana terowong. Kedua-duanya tidak memberitahu anda apa-apa tentang keluar yang anda gunakan.

Kekalkan pengesahan berfungsi semasa anda menyelesaikan masalah

Amaran sijil ialah maklumat tentang sambungan yang anda akan buat. Ia boleh bermaksud nama hos tidak sepadan, masalah jam, rantaian tidak dipercayai, atau percubaan pintasan. Menambah pengecualian kekal kerana VPN disambungkan menghapuskan satu-satunya isyarat yang akan membezakan kes-kes itu.

Ciri sambungan selamat Tor Browser dan amaran-amarannya wujud atas sebab yang sama, dan mematikannya supaya halaman dimuatkan menukar kegagalan yang kelihatan dengan yang tidak kelihatan. Jika laman tidak dapat dicapai tanpa pengecualian, kesimpulan jujurnya ialah sambungan itu tidak dapat disahkan, bukan bahawa terowong menjadikannya selamat.

Penyulitan juga tidak mengatakan apa-apa tentang niat. Sambungan HTTPS yang sah ke laman menipu menyampaikan data anda kepada laman itu dengan kerahsiaan sempurna. Periksa alamat dan apa yang anda hantar, bukan hanya sama ada mangga ada.

Perkhidmatan Onion ialah model yang benar-benar berbeza. Ia dicapai melalui rangkaian Tor tanpa keluar awam biasa, yang tidak sama dengan mengakses laman awam melalui Tor. Anggap itu sebagai kes berasingan dengan jangkaannya sendiri, bukan sebagai versi lebih kuat bagi lawatan yang sama.

Peraturan yang bertahan dalam setiap konfigurasi adalah ringkas. Kekalkan pengesahan pelayar tanpa gangguan. Nilai setiap lapisan mengikut tempat ia benar-benar berakhir.