Hvorfor HTTPS fortsatt betyr noe når VPN-tunnelen er slutt

Grønn VPN-indikator, følelse av privatliv, og så viser nettleseren en sertifikatadvarsel på bankens nettsted. Ingenting ved den advarselen blir bedre av tunnelen. En VPN beskytter veien fra enheten din til sin egen server; HTTPS beskytter forespørselen fra nettleseren din til nettstedets TLS-endepunkt. De dekker ulike deler av reisen, og den ene erstatter ikke den andre.

To tunneler med to forskjellige ender

VPN-tunnelen slutter ved VPN-serveren. Etter det punktet fortsetter trafikken din på det vanlige internettet mot destinasjonen. VPN-operatøren ser metadataene til forbindelsen, selv om den ikke kan lese innholdet.

HTTPS starter i nettleseren din og slutter ved nettstedets TLS-endepunkt. Det bryr seg ikke om hvordan pakken nådde serveren, og det avhenger ikke av at VPN er til stede.

Derfor utfyller de to beskyttelsene hverandre i stedet for å konkurrere. VPN skjuler forespørselen for det lokale nettverket og for internettilbyderen din frem til utgangen. HTTPS skjuler den for enhver observatør etter den utgangen, også for VPN-tilbyderen selv. Ingen av dem dekker den andres hull. Den som forstår dette, slutter å spørre hvilken som er nok.

Et vanlig HTTP-skjema forblir vanlig etter utgangen

Et eldre nettsted som aksepterer et skjema over HTTP, er ubeskyttet utenfor VPN-serveren. Tunnelen bærer skjemaet til utgangen, og resten av ruten bærer det i klartekst.

Bruk den ekte HTTPS-versjonen eller en annen offisiell kanal for alt som er sensitivt.

En tilkoblet indikator endrer ikke applikasjonens transport. Nettleserens modus for bare HTTPS kan hjelpe med å hindre en utilsiktet tilbakefall, men den kan ikke reparere et nettsted som aldri tilbød TLS.

En sertifikatadvarsel blir ikke kurert av en VPN

Et feil vertsnavn, et utløpt sertifikat, en skjev enhetsklokke eller avlytting kan alle forårsake en valideringsfeil. VPN gjør ingen av dem ufarlige.

Sjekk den nøyaktige adressen og systemklokken før noe annet.

Hvis en innloggingsside for nettverket er involvert, bruk plattformens vanlige captive portal-flyt. Ikke gi en permanent unntakelse til et uvedkommende kontonettsted fordi et hotellnettverk ba deg om det.

På en administrert enhet, spør om det er installert et inspeksjonssertifikat. Det endrer den vanlige tillitsordningen og fortjener en konkret forklaring i stedet for et skuldertrekk. Spør om sertifikatets formål og hvem som eier det.

Kryptering stopper ikke sporing

Økten bærer informasjonskapsler, innlogginger og skjemadata til nettstedet nøyaktig som tiltenkt. En sporingsaktor kan også kjøre på en kryptert forbindelse, og de fleste gjør det.

En VPN endrer ruten og den tilsynelatende utgangsadressen. Den endrer ikke identiteten du gir gjennom en konto, og den sletter ikke informasjonskapselen som følger deg mellom nettsteder.

Behold nettleserbeskyttelsen du allerede bruker. VPN er et tillegg til dem, ikke en erstatning.

Sjekk adressen, ikke indikatoren

Bekreft vertsnavnet i adressefeltet og sertifikatet nettstedet viser. Hengelåsen betyr at forbindelsen er kryptert til et eller annet endepunkt; det betyr ikke at endepunktet er det du hadde i tankene.

To kommandoer viser sertifikatet og omdirigeringskjeden:

curl -sSI https://bank.example/ | head -5
openssl s_client -connect bank.example:443 -servername bank.example < /dev/null 2>/dev/null | openssl x509 -noout -subject -dates

Hvis sertifikatet nevner en annen vert, stopp. Hvis klokken er feil, rett den før du prøver igjen. Hvis en omdirigering sender deg til vanlig HTTP, behandle det som en feil på nettstedet og ikke som en grunn til å slå av validering. Nettleseradvarselen finnes fordi alternativet er å gjette hvilket endepunkt som fikk passordet ditt.