Waarom HTTPS nog steeds telt als de VPN-tunnel eindigt

Groene VPN-indicator, gevoel van privacy, en dan gooit de browser een certificaatwaarschuwing op de site van de bank. Niets aan die waarschuwing wordt beter door de tunnel. Een VPN beschermt de weg van je apparaat naar zijn eigen server; HTTPS beschermt het verzoek van je browser naar het TLS-eindpunt van de website. Ze dekken verschillende delen van de reis, en het ene vervangt het andere niet.

Twee tunnels met twee verschillende uiteinden

De VPN-tunnel eindigt op de VPN-server. Na dat punt gaat je verkeer verder op het gewone internet richting de bestemming. De beheerder van de VPN ziet de metadata van de verbinding, hoewel hij de inhoud niet kan lezen.

HTTPS begint in je browser en eindigt op het TLS-eindpunt van de website. Het maakt niet uit hoe het pakket de server bereikte, en het hangt niet af van de aanwezigheid van een VPN.

Daarom versterken de twee beschermingen elkaar in plaats van te concurreren. De VPN verbergt het verzoek voor het lokale netwerk en voor je provider tot aan zijn uitgang. HTTPS verbergt het voor elke waarnemer na die uitgang, inclusief de VPN-aanbieder zelf. Geen van beide dekt het gat van de ander. Wie dit begrijpt, stopt met vragen welke genoeg is.

Een gewoon HTTP-formulier blijft gewoon na de uitgang

Een oudere website die een formulier via HTTP aanneemt, is na de VPN-server onbeschermd. De tunnel draagt het formulier tot de uitgang, en de rest van de route draagt het openlijk.

Gebruik de echte HTTPS-versie of een ander officieel kanaal voor alles wat gevoelig is.

Een verbonden indicator verandert de transportlaag van de toepassing niet. De alleen-HTTPS-modus van de browser kan helpen een onbedoelde terugval te voorkomen, maar kan een site die nooit TLS aanbood niet repareren.

Een certificaatwaarschuwing wordt niet genezen door een VPN

Een verkeerde hostnaam, een verlopen certificaat, een scheve klok van het apparaat of onderschepping kunnen allemaal een validatiefout veroorzaken. De VPN maakt geen van die gevallen ongevaarlijk.

Controleer het exacte adres en de systeemklok voor alles anders.

Als er een inlogpagina van het netwerk meespeelt, gebruik dan de normale captive portal-stroom van het platform. Geef geen permanente uitzondering aan een niet-gerelateerde accountsite omdat een hotelnetwerk je dat vroeg.

Op een beheerd apparaat, vraag of een inspectiecertificaat is geïnstalleerd. Dat verandert de gebruikelijke vertrouwensregeling en verdient een concrete uitleg in plaats van een schouderophalen. Vraag naar het doel van het certificaat en wie het bezit.

Versleuteling stopt het volgen niet

De sessie draagt cookies, aanmeldingen en formuliergegevens precies zoals bedoeld naar de site. Een tracker kan ook meerijden op een versleutelde verbinding, en de meeste doen dat.

Een VPN verandert de route en het schijnbare uitgangsadres. Het verandert niet de identiteit die je via een account opgeeft, en het wist niet de cookie die je tussen sites volgt.

Behoud de browserschutz die je al gebruikt. De VPN is een toevoeging daarop, geen vervanging.

Controleer het adres, niet de indicator

Controleer de hostnaam in de adresbalk en het certificaat dat de site presenteert. Het slot betekent dat de verbinding tot een of ander eindpunt versleuteld is; het betekent niet dat dat eindpunt degene is die je bedoelde.

Twee commando's tonen het certificaat en de omleidingsketen:

curl -sSI https://bank.example/ | head -5
openssl s_client -connect bank.example:443 -servername bank.example < /dev/null 2>/dev/null | openssl x509 -noout -subject -dates

Als het certificaat een andere host noemt, stop. Als de klok verkeerd is, herstel die voordat je het opnieuw probeert. Als een omleiding je naar gewoon HTTP stuurt, behandel dat als een fout van de site en niet als een reden om validatie uit te schakelen. De browserwaarschuwing bestaat omdat het alternatief is te raden welk eindpunt je wachtwoord ontving.