Cztery granice do sprawdzenia przed płatnością przez VPN

Przejdź cztery granice po kolei, a większość pytań o płatność odpowie się sama. Pierwsza to środowisko, w którym działa transakcja, druga to droga, którą podąża jej ruch, trzecia to, czy witryna jest naprawdę tą, do której chciałeś dotrzeć, a czwarta to, czego odbiorca dowiaduje się o transakcji niezależnie od drogi. Pakiet bezpieczeństwa łączący chronioną przeglądarkę z tunelem zachęca, by jeden przycisk traktować jako jedną gwarancję, i właśnie tam kontrole są pomijane. Każda kontrola ma własny warunek zatrzymania, a kolejność ma znaczenie, bo późniejsza nie naprawi wcześniejszego błędu.

Najpierw: co chronione środowisko naprawdę ogranicza

Tekst sprzedażowy trybu płatności zwykle wylicza ograniczenia: które inne aplikacje mogą wchodzić w interakcję z sesją, czy schowek i przechwytywanie ekranu są ograniczone, czy sesja działa na osobnym pulpicie. Nie dowodzi jednak, że uprzywilejowany komponent hosta, sterownik lub mechanizm wejścia poza piaskownicą nie może dotrzeć do sesji. Bycie w piaskownicy to opis granicy, nie obietnica wobec każdego atakującego.

Przeczytaj listę funkcji wydania, które naprawdę zainstalowałeś, bo połączone tryby często różnią się między poziomami konsumenckimi i czasem nie istnieją na urządzeniach zarządzanych. Porównaj tę listę z błędem, który widzisz, zanim uznasz, że granica się utrzymała.

Potem zatrzymaj się i zapytaj, czy błąd, który ścigasz, jest w ogóle lokalny. Jeśli strona płatności wyświetla się źle tylko w trybie chronionym, podejrzane jest środowisko, a tunel jest nieistotny. Jeśli wyświetla się dobrze wszędzie, ale transakcja nadal się nie udaje, patrzysz na kolejną granicę, a osłabianie trybu chronionego nie pomoże.

Po drugie: jaki ruch niesie tunel

Tunel chroni ruch, który obejmuje, a zasięg jest faktem konfiguracji, nie właściwością produktu. Zapytaj, czy wliczony jest własny ruch chronionej przeglądarki, czy tryb omija tunel z powodu wydajności lub portalu przechwytującego, i czy reguła tunelu dzielonego wyklucza cel. Zwykła przeglądarka pokazująca adres wyjściowy dostawcy niczego nie dowodzi o osobnym środowisku przeglądania uruchomionym przez inny proces.

Testuj zasięg od wewnątrz środowiska, a nie z pulpitu. Wczytaj stronę, która w chronionej sesji pokazuje twój publiczny adres, i porównaj go z adresem widocznym na zewnątrz, a potem powtórz po ponownym połączeniu tunelu. Jeśli oba się zgadzają, a tunel twierdzi, że wyjście jest inne, tryb nie korzysta z tunelu i tę rozbieżność warto rozwiązać przed wpisaniem danych karty. Zmianę adresu wyjściowego też łatwo przecenić: mówi ona, którą sieć widzi sprzedawca, a nie kim jest sprzedawca.

Po trzecie: sprawdź usługę, a nie odznakę

Walidacja certyfikatu jest tym, co uwierzytelnia cel, i działa dalej po wyjściu z tunelu, bo to osobny mechanizm. Oznaczone marką chronione okno i wskaźnik Connected nic nie mówią o łańcuchu certyfikatów przedstawianym przez odwiedzoną witrynę.

Gdy coś wygląda źle, przeczytaj certyfikat, zanim odrzucisz ostrzeżenie. Polecenie poniżej prosi o łańcuch, który witryna naprawdę przedstawia, i każe narzędziu zawieść przy błędzie weryfikacji.

openssl s_client -connect shop.example:443 -servername shop.example -verify_return_error

Porównaj subject i issuer w tym wyniku z wpisanym adresem i potwierdź wynik weryfikacji, a nie obecność kłódki. Ostrzeżenie w chronionej przeglądarce nadal jest ostrzeżeniem, a zwykłą przyczyną jest niezgodność nazwy hosta, przechwycona odpowiedź DNS lub urządzenie podsłuchujące na drodze. Żadnego z nich tunel nie naprawia, a tryb, który po cichu tłumi ostrzeżenie, usunął informację, której potrzebowałeś.

Po czwarte: czego odbiorca i tak się dowie

Strona płatności otrzymuje wszystko, co jej wysyłasz: konto, na które się logujesz, adres dostawy, instrument karty i kwotę. Inne wyjście sieciowe zmienia adres źródłowy w logach sprzedawcy i pozostawia te pola dokładnie takie, jakie były. Jeśli konto jest już powiązane z tobą, tunel zmienił małą część obrazu i nic z części identyfikującej. To nie powód, by pominąć tunel, tylko powód, by przestać oczekiwać, że wykona tę pracę.

Dokumentacja Bitdefendera o Safepay opisuje chronioną przeglądarkę ze powiązaną integracją tunelu, co jest dobrym przykładem jednego produktu obejmującego dwie granice bez ich scalania. Zarówno środowisko, jak i droga są przydatne, i żadne z nich nie ręczy za sprzedawcę.

W przypadku płatności, na której ci zależy, zacznij od opublikowanego adresu organizacji lub jej oficjalnej aplikacji, zachowaj kontrole tożsamości, których wymaga witryna, i odrzuć każdego pomocnika oferowanego przez nieoczekiwany komunikat na stronie płatności. Jeśli tryb chroniony lub tunel powoduje błąd, najpierw nazwij granicę: uruchomienie środowiska, dotarcie do sieci, walidacja certyfikatu lub uwierzytelnienie konta. Potem użyj wspieranej przez dostawcę ścieżki odzyskiwania dla tej warstwy, zamiast wyłączać zabezpieczenia, by sprawdzić, czy strona się wczyta.