Dlaczego HTTPS wciąż ma znaczenie po zakończeniu tunelu VPN

Zielony wskaźnik VPN, poczucie prywatności, a potem przeglądarka wyrzuca ostrzeżenie o certyfikacie na stronie banku. Nic w tym ostrzeżeniu nie poprawia się dzięki tunelowi. VPN chroni drogę od urządzenia do własnego serwera; HTTPS chroni żądanie od przeglądarki do punktu końcowego TLS strony. Obejmują różne odcinki podróży i jedno nie zastępuje drugiego.

Dwa tunele z dwoma różnymi końcami

Tunel VPN kończy się na serwerze VPN. Za tym punktem ruch idzie dalej zwykłym internetem w stronę celu. Operator VPN widzi metadane połączenia, choć nie może odczytać treści.

HTTPS zaczyna się w przeglądarce i kończy w punkcie końcowym TLS strony. Nie interesuje go, jak pakiet dotarł do serwera, i nie zależy od obecności VPN.

Dlatego te dwie ochrony uzupełniają się, zamiast konkurować. VPN ukrywa żądanie przed siecią lokalną i przed twoim dostawcą internetu aż do swojego wyjścia. HTTPS ukrywa je przed każdym obserwatorem po tym wyjściu, także przed samym dostawcą VPN. Żadna nie zakrywa luki drugiej. Kto to rozumie, przestaje pytać, która wystarczy.

Zwykły formularz HTTP pozostaje zwykły po wyjściu

Starsza strona, która przyjmuje formularz przez HTTP, jest poza serwerem VPN nieochroniona. Tunel niesie formularz do wyjścia, a reszta trasy niesie go jawnie.

Do wszystkiego wrażliwego używaj prawdziwej wersji HTTPS albo innego oficjalnego kanału.

Wskaźnik połączenia nie zmienia transportu aplikacji. Tryb tylko HTTPS w przeglądarce może pomóc zapobiec przypadkowemu cofnięciu, ale nie naprawi strony, która nigdy nie oferowała TLS.

Ostrzeżenia o certyfikacie nie leczy VPN

Zła nazwa hosta, wygasły certyfikat, przekrzywiony zegar urządzenia albo przechwycenie mogą spowodować błąd weryfikacji. VPN nie czyni żadnego z nich nieszkodliwym.

Przed wszystkim innym sprawdź dokładny adres i zegar systemowy.

Jeśli w grę wchodzi strona logowania do sieci, użyj normalnego przepływu portalu przechwytującego platformy. Nie dawaj trwałego wyjątku niezwiązanemu z niczym stronie konta tylko dlatego, że poprosiła o to sieć hotelowa.

Na zarządzanym urządzeniu zapytaj, czy zainstalowano certyfikat inspekcji. To zmienia zwykły układ zaufania i zasługuje na konkretne wyjaśnienie, a nie wzruszenie ramion. Zapytaj o cel certyfikatu i o to, czyj jest.

Szyfrowanie nie zatrzymuje śledzenia

Sesja niesie pliki cookie, logowania i dane formularzy do strony dokładnie tak, jak zamierzono. Traker też może jechać na szyfrowanym połączeniu, i większość tak robi.

VPN zmienia trasę i pozorny adres wyjścia. Nie zmienia tożsamości, którą podajesz przez konto, i nie usuwa pliku cookie, który cię śledzi między stronami.

Zachowaj ochronę przeglądarki, której już używasz. VPN jest dodatkiem, a nie zamiennikiem.

Sprawdź adres, nie wskaźnik

Sprawdź nazwę hosta w pasku adresu i certyfikat, który przedstawia strona. Kłódka oznacza, że połączenie jest szyfrowane do jakiegoś punktu końcowego; to nie znaczy, że tym punktem jest ten, który miałeś na myśli.

Dwie polecenia pokazują certyfikat i łańcuch przekierowań:

curl -sSI https://bank.example/ | head -5
openssl s_client -connect bank.example:443 -servername bank.example < /dev/null 2>/dev/null | openssl x509 -noout -subject -dates

Jeśli certyfikat wskazuje inny host, zatrzymaj się. Jeśli zegar jest zły, popraw go przed ponowną próbą. Jeśli przekierowanie wysyła cię do zwykłego HTTP, traktuj to jako błąd strony, a nie powód, by wyłączyć weryfikację. Ostrzeżenie przeglądarki istnieje, bo alternatywą jest zgadywanie, który punkt końcowy dostał twoje hasło.