Vier grenzen om te controleren voordat je via een VPN betaalt

Doorloop de vier grenzen op volgorde en de meeste betaalvragen beantwoorden zichzelf. De eerste is de omgeving waarin de transactie draait, de tweede is de route die het verkeer aflegt, de derde is of de site echt de site is die je wilde bereiken, en de vierde is wat de ontvanger ondanks de route over de transactie leert. Een beveiligingspakket dat een beveiligde browser met een tunnel combineert, nodigt je uit één knop als één garantie te zien, en precies daar worden de controles overgeslagen. Elke controle heeft zijn eigen stopvoorwaarde, en de volgorde is belangrijk omdat een latere een eerdere fout niet kan herstellen.

Eerst: wat beperkt de beveiligde omgeving werkelijk

Verkoopteksten voor een betaalmodus noemen meestal beperkingen: welke andere toepassingen met de sessie kunnen communiceren, of klembord en schermopname beperkt zijn, of de sessie op een apart bureaublad draait. Wat ze niet vaststellen, is dat een bevoorrechte hostcomponent, een stuurprogramma of een invoermechanisme buiten de sandbox de sessie niet kan bereiken. In een sandbox zitten is een beschrijving van een grens, geen belofte over elke aanvaller.

Lees de functielijst voor de editie die je werkelijk hebt geïnstalleerd, want gebundelde modi verschillen vaak tussen consumentenniveaus en ontbreken soms op beheerde apparaten. Vergelijk die lijst met de fout die je ziet voordat je aanneemt dat de grens standhield.

Stop dan en vraag of de fout die je najaagt wel lokaal is. Als de betaalpagina alleen binnen de beveiligde modus verkeerd wordt weergegeven, is de omgeving de verdachte en doet de tunnel er niet toe. Als ze overal correct wordt weergegeven maar de transactie toch mislukt, kijk je naar de volgende grens, en de beveiligde modus verzwakken helpt niet.

Ten tweede: welk verkeer draagt de tunnel

Een tunnel beschermt het verkeer dat hij dekt, en dekking is een configuratiegegeven, geen producteigenschap. Vraag of het eigen verkeer van de beveiligde browser is inbegrepen, of de modus de tunnel om prestatieredenen of voor een captive portal omzeilt, en of een split-tunnelregel de bestemming uitsluit. Een gewone browser die het uitgangsadres van de provider toont, bewijst niets over een aparte browseromgeving die door een ander proces is gestart.

Test de dekking van binnen de omgeving in plaats van vanaf het bureaublad. Laad een pagina die je openbare adres in de beveiligde sessie toont en vergelijk die met het adres dat je buiten ziet, en herhaal dat na opnieuw verbinden van de tunnel. Als beide overeenkomen terwijl de tunnel een andere uitgang claimt, gebruikt de modus de tunnel niet en is die afwijking het oplossen waard voordat je kaartgegevens invoert. Ook een gewijzigd uitgangsadres is makkelijk te overschatten: het zegt welk netwerk de handelaar ziet, niet wie de handelaar is.

Ten derde: verifieer de dienst in plaats van het beeldmerk

Certificaatvalidatie is wat de bestemming authenticeert, en het blijft werken na de tunneluitgang omdat het een apart mechanisme is. Een beveiligd venster met merk en een Connected-indicator zeggen niets over de certificaatketen die de bereikte site presenteert.

Als iets verkeerd lijkt, lees dan het certificaat voordat je de waarschuwing wegzet. De opdracht hieronder vraagt om de keten die de site werkelijk presenteert en zegt het gereedschap te falen bij een verificatiefout.

openssl s_client -connect shop.example:443 -servername shop.example -verify_return_error

Vergelijk het subject en de issuer in die uitvoer met het adres dat je hebt getypt, en bevestig het verificatieresultaat in plaats van de aanwezigheid van een hangslot. Een waarschuwing in een beveiligde browser blijft een waarschuwing, en de gebruikelijke oorzaak is een naamsverschil bij de host, een gekaapt DNS-antwoord of een aftapapparaat op de route. Niets daarvan wordt door de tunnel gerepareerd, en een modus die de waarschuwing stil onderdrukt heeft informatie verwijderd die je nodig had.

Ten vierde: wat de ontvanger toch leert

De betaalsite ontvangt alles wat je erheen stuurt: het account waarmee je inlogt, het afleveradres, het kaartinstrument en het bedrag. Een andere netwerkuitgang verandert het bronadres in de logboeken van de handelaar en laat die velden precies zoals ze waren. Als het account al aan jou is gekoppeld, heeft de tunnel een klein deel van het beeld veranderd en niets van het identificerende deel. Dat is geen reden om de tunnel over te slaan, alleen een reden om op te houden te verwachten dat hij dit werk doet.

De documentatie van Bitdefender over Safepay beschrijft een beveiligde browser met bijbehorende tunnelintegratie, wat een goed voorbeeld is van één product dat twee grenzen dekt zonder ze samen te smelten. Zowel de omgeving als de route zijn nuttig, en geen van beide staat borg voor de handelaar.

Begin voor een betaling die je belangrijk vindt bij het gepubliceerde adres van de organisatie of haar officiële toepassing, houd de identiteitscontroles aan die de site vraagt, en weiger elke helper die een onverwachte melding op de betaalpagina aanbiedt. Als de beveiligde modus of de tunnel een fout veroorzaakt, benoem dan eerst de grens: de omgeving starten, het netwerk bereiken, het certificaat valideren of het account authenticeren. Gebruik daarna het door de leverancier ondersteunde herstelpad voor die laag in plaats van beveiligingen uit te zetten om te zien of de pagina laadt.