Apa yang disulitkan oleh terowong dan apa yang dibiarkan boleh dibaca

Terowong anda hidup, satu tab menunjukkan mangga hijau, dan halaman HTTP biasa dalam tab lain masih memberi amaran bahawa sambungan tidak selamat. Gabungan itu mengelirukan orang kerana kedua-dua perlindungan meliputi jarak yang berbeza. VPN melindungi trafik antara hujungnya sendiri, dan selepas titik keluar trafik kembali biasa. HTTPS melindungi satu sambungan hingga ke laman web. Meletakkan kedua-dua fakta itu bersebelahan menjelaskan kebanyakan soalan tentang apa yang sebenarnya disembunyikan oleh VPN.

Apa yang sebenarnya diliputi oleh terowong

Antara klien dan rakan VPN, pemerhati melihat bait tersulit dan bukan permintaan yang boleh dibaca. Ini meliputi segmen yang dilalui terowong, yang biasanya bahagian yang anda tidak kawal. Ia tidak meluas ke pautan antara titik keluar VPN dan laman web, kerana terowong berakhir di titik keluar. Bait itu boleh dibaca semula sejak saat terowong tamat. Tiada apa-apa dalam hal itu yang merupakan salah konfigurasi.

Titik keluar ialah mesin yang menyahsulit dan memajukan, dan itulah tujuan VPN. Apa sahaja yang dimajukannya kelihatan kepadanya dalam bentuk semasa ia diterima, jadi permintaan HTTP biasa kekal teks biasa dari titik keluar dan seterusnya.

Bacalah itu sebagai sifat dan bukan kecacatan. Penyulitan terhad kepada satu laluan, dan laluan itu berakhir di tempat perkhidmatan bermula.

Kunci, nonce dan integriti dalam bahasa mudah

Trafik yang sedang berjalan dilindungi dengan kriptografi simetri, dan kedua-dua hujung memperoleh atau mendapatkan bahan kunci semasa jabat tangan. Penyulitan yang disahkan, yang diterangkan secara umum oleh RFC 5116, memberikan kerahsiaan dan integriti dalam satu binaan. Penerima menolak bait yang diubah dan bukan sekadar gagal membacanya, dan itulah bahagian yang orang lupa apabila mereka fikir penyulitan bermaksud mengacau.

Kunci datang daripada pertukaran itu, bukan daripada kata laluan yang ditaip semasa log masuk. Kata laluan mengesahkan identiti, dan kemudian protokol menetapkan bahan sesi. Pertukaran kunci efemeral yang memberikan kerahsiaan ke hadapan, jadi sesi yang dirakam kekal tidak boleh dibaca walaupun kunci jangka panjang bocor kemudian.

Nombor besar dalam spesifikasi tidak menjawab mana-mana soalan itu, dan membandingkan nombor antara algoritma yang tidak berkaitan bukanlah kedudukan. Tanyakan sebaliknya apa yang disediakan oleh pertukaran kunci.

Di mana terowong berakhir

Titik hujung yang menamatkan terowong boleh membaca apa yang dimajukannya. Itu berlaku sama bagi get laluan korporat, penyedia komersial dan pelayan yang dihoskan sendiri. Ia adalah reka bentuk, bukan kecacatan. Kriptografi kuat tidak dapat menghalang titik hujung yang terjejas daripada membaca teks biasa yang tiba di situ, kerana titik hujung ialah tempat perlindungan berhenti.

HTTPS berterusan melepasi titik itu, itulah sebabnya laman boleh selamat pada rangkaian bermusuhan walaupun tanpa VPN. Kedua-dua perlindungan bertindih pada segmen pertama dan hanya satu daripadanya berterusan selepas titik keluar.

Itulah juga sebabnya melemahkan pengesahan sijil supaya sambungan berfungsi bukanlah ujian terowong. Ia mematikan perlindungan lain dan meninggalkan anda dengan lebih sedikit daripada semasa mula.

Mengapa tanpa nama ialah produk lain

Alamat, masa dan jumlah kekal boleh diperhatikan di luar terowong. Pemerhati boleh melihat bahawa trafik mengalir ke titik hujung VPN, kira-kira berapa banyak dan bila. Kandungan mungkin tidak boleh dibaca sementara corak masih memberi maklumat.

Penyedia juga berada di tempat yang berbeza daripada rangkaian anda sendiri, yang merupakan perubahan pemerhati dan bukan penghapusan pemerhatian. Kuki, log masuk dan pengecam akaun terus berfungsi sama seperti dahulu, kerana terowong tidak pernah berjanji untuk mengubahnya.

Pilih penyedia berdasarkan dasar lognya dan bidang kuasanya jika itu keperluan, kemudian baca dasar itu sendiri. Halaman pemasaran jarang menjawab soalan itu dengan cara yang boleh diaudit oleh sesiapa.

Periksa terowong dan laman secara berasingan

Sahkan terowong dahulu, supaya anda tahu perlindungan mana yang sedang diuji. Kemudian sahkan pengangkutan laman itu sendiri, dan bandingkan kedua-dua hasil dan bukan menganggap satu membayangkan yang lain. Terowong yang membawa HTTP biasa dan laman yang menyediakan HTTPS kedua-duanya melakukan tepat apa yang dikonfigurasikan.

Jalankan pemeriksaan terhadap hos yang anda dibenarkan menguji, dan baca keluaran dan bukan ringkasan.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

Apabila terowong hidup dan laman HTTPS, anda mempunyai dua perlindungan pada segmen pertama dan satu pada segmen kedua. Apabila laman HTTP biasa, segmen kedua boleh dibaca oleh sesiapa di dalamnya, termasuk titik keluar yang memajukan permintaan. Mengetahui mana antara keduanya yang tiada ialah keseluruhan diagnosis, dan ia memerlukan dua arahan dan bukan klien baharu.