VPN og Tor erstattar ikkje HTTPS: kvar kvart lag sluttar

Ein VPN og ein Tor-krins krypterer begge trafikken din for ein del av reisa. Begge sluttar å kryptere han hos ein motpart dei vel sjølve. HTTPS er laget som når sjølve nettstaden, og inga mengd tunellering framfor det gjer ei vanleg skjemainnsending om til ei verna. Å følgje kvart lag til punktet der det sluttar gjer det openbert.

Tre lag, tre ulike endepunkt

Ein vanleg VPN avsluttar tunnelen sin på VPN-tenaren. Alt mellom eininga di og den tenaren er inne i tunnelen, og alt etter han er det ikkje. Ein Tor-krins oppfører seg på same måte med ein annan motpart, og forlèt nettet ved eit utgangsrelé som sender førespurnaden din vidare til målet.

TLS vert avslutta på nettstaden. Sertifikatet du validerte bind eit vertsnamn til ein nøkkel nettstaden styrer, og sesjonsnøklane finst mellom nettlesaren din og den tenaren. Det endepunktet ligg utanfor både VPN-tenaren og Tor-utgangen.

Så dei tre laga har tre ulike tillitsgrenser, og ein førespurnad går gjennom alle i rekkefølgje. Å styrkje eitt seier ingenting om dei andre, og det siste er det einaste der målet deltek.

Kva det siste hoppet avdekkjer

Viss applikasjonen brukar vanleg HTTP, er innhaldet bortanfor utgangen lesbart for kven som helst som driv det hoppet. Den tidlegare tunnelen gjorde jobben sin perfekt og er rett og slett ikkje der lenger. Påloggingsdetaljar som blir skrivne inn i eit HTTP-skjema, blir avdekte nøyaktig på det punktet der vernet tok slutt.

Med korrekt validert HTTPS kan ein mellommann på vegen korkje lese eller stille endre applikasjonsinnhaldet. Han ser framleis at du kopla til, når og til kva adresse, fordi pakkehovuda må kunne rutast. Konfidensialitet for innhald og metadata om sambandet er ulike eigenskapar, og berre den første er det TLS gir.

Kontoidentitet er igjen ein tredje ting. Å logge på ein konto identifiserer deg for den tenesta uansett kva utgangsadresse du brukte, så utgangen vernar nettverksvegen og ikkje kontoen. Den skilnaden overlever eit vilkårleg tal lag framfor. Å byte utgang endrar aldri kva ein innlogga økt avdekkjer. Tenesta visste kven du var før den første pakken drog.

Ingenting i denne ordninga blir brote ved å leggje til ein andre tunnel. Det som endrar seg, er kva observatør som ser det første hoppet, ikkje om det siste hoppet er kryptert.

Rekkjefølgja endrar observatørane, ikkje endepunktet

Å kjede ein VPN og Tor saman er ein legitim måte å endre kven som ser kva på nettverksnivå. Å køyre Tor over ein VPN skjuler for tilgangsnettet ditt at du brukar Tor, medan å køyre ein VPN over Tor skjuler adressa di for VPN-leverandøren. Begge rekkjefølgjene er skildra i offentleg dokumentasjon, og begge har avvegingar i yting og feilåtferd.

Ingen av rekkjefølgjene flyttar TLS-endepunktet. I begge tilfelle validerer nettlesaren framleis eit sertifikat for vertsnamnet han bad om, og i begge tilfelle sender ei HTTP-adresse framleis innhaldet sitt i klartekst bortanfor det siste reléet. Samansetninga endrar observatørlista; ho endrar ikkje talet på lag ved målet.

Derfor handlar råd om kjed vanlegvis om trugselmodellar og ikkje om tryggleik generelt. Ei lengre kjede er ikkje ein sterkare versjon av det same, og ho erstattar ikkje protokollen applikasjonen valde.

curl -sSI https://example.net | head -3
openssl s_client -connect example.net:443 -servername example.net -brief

Begge kommandoane viser laget som betyr noko ved målet. Den andre skriv ut den forhandla protokollen utan å involvere nokon tunnel. Ingen av dei fortel deg noko om utgangen du brukte.

Hald valideringa i gang medan du feilsøkjer

Ei sertifikatåtvaring er informasjon om sambandet du er i ferd med å opprette. Ho kan bety avvik i vertsnamn, eit klokkeproblem, ei ikkje-klarert kjede eller eit avlyttingsforsøk. Å leggje til eit permanent unntak fordi ein VPN er tilkopla, fjernar det einaste signalet som ville ha skilt desse tilfella.

Tor Browsers funksjonar for sikker tilkopling og åtvaringane hans finst av same grunn, og å slå dei av for å få ei side til å laste byter ein synleg feil mot ein usynleg. Viss ein nettstad ikkje kan nåast utan unntak, er den ærlege konklusjonen at sambandet ikkje kan verifiserast, ikkje at tunnelen gjorde det trygt.

Kryptering seier heller ingenting om hensikt. Eit gyldig HTTPS-samband til ein villedande nettstad leverer dataa dine til den nettstaden med perfekt konfidensialitet. Sjekk adressa og kva du sender inn, ikkje berre om hengelåsen er der.

Onion-tenester er ein verkeleg annan modell. Dei nåast gjennom Tor-nettet utan ein vanleg offentleg utgang, noko som ikkje er det same som å nå ein offentleg nettstad gjennom Tor. Handsame det som eit eige tilfelle med eigne forventningar, ikkje som ein sterkare versjon av same vitjing.

Regelen som overlever kvar konfigurasjon, er kort. Hald nettlesarvalideringa intakt. Vurder kvart lag etter kvar det faktisk sluttar.