VPN și Tor nu înlocuiesc HTTPS: unde se termină fiecare strat

Un VPN și un circuit Tor criptează ambele traficul tău pentru o parte a călătoriei. Ambele încetează să îl cripteze la un partener pe care îl aleg singure. HTTPS este stratul care ajunge la site-ul însuși, iar nicio cantitate de tunelare din fața lui nu transformă trimiterea unui formular simplu într-una protejată. Urmărirea fiecărui strat până la punctul în care se termină face asta evident.

Trei straturi, trei puncte finale diferite

Un VPN convențional își termină tunelul la serverul VPN. Tot ce se află între dispozitivul tău și acel server este în interiorul tunelului, iar tot ce urmează nu este. Un circuit Tor se comportă la fel cu un alt partener, părăsind rețeaua la un releu de ieșire care transmite cererea ta către destinație.

TLS se termină la site. Certificatul pe care l-ai validat leagă un nume de gazdă de o cheie controlată de site, iar cheile de sesiune există între browserul tău și acel server. Acel punct final se află dincolo de serverul VPN și de ieșirea Tor.

Deci cele trei straturi au trei limite de încredere diferite, iar o cerere trece prin toate în succesiune. Consolidarea unuia nu spune nimic despre celelalte, iar ultimul este singurul la care participă destinația.

Ce expune ultimul salt

Dacă aplicația folosește HTTP simplu, conținutul de dincolo de ieșire este lizibil pentru oricine operează acel salt. Tunelul anterior și-a făcut treaba perfect și pur și simplu nu mai există. Acreditările tastate într-un formular HTTP sunt expuse exact în punctul în care protecția s-a terminat.

Cu HTTPS validat corect, un intermediar de pe traseu nu poate citi sau modifica în tăcere conținutul aplicației. El vede în continuare că te-ai conectat, când și la ce adresă, pentru că antetele pachetelor trebuie să fie rutabile. Confidențialitatea conținutului și metadatele despre conexiune sunt proprietăți diferite, iar doar prima este ceea ce oferă TLS.

Identitatea contului este din nou un al treilea lucru. Conectarea la un cont te identifică acelui serviciu indiferent de adresa de ieșire pe care ai folosit-o, așa că ieșirea protejează calea de rețea, nu contul. Această distincție supraviețuiește oricărui număr de straturi din fața ei. Schimbarea ieșirilor nu schimbă niciodată ceea ce dezvăluie o sesiune conectată. Serviciul știa cine ești înainte ca primul pachet să plece.

Nimic din această aranjare nu se strică prin adăugarea unui al doilea tunel. Ce se schimbă este care observator vede primul salt, nu dacă ultimul salt este criptat.

Ordinea schimbă observatorii, nu punctul final

Înlănțuirea unui VPN și a Tor este o modalitate legitimă de a schimba cine vede ce la nivel de rețea. Rularea Tor peste un VPN ascunde rețelei tale de acces faptul că folosești Tor, în timp ce rularea unui VPN peste Tor îți ascunde adresa față de furnizorul de VPN. Ambele ordini sunt descrise în documentație publică și ambele au compromisuri de performanță și de comportament la defecțiune.

Niciuna dintre ordini nu mută punctul final TLS. În ambele cazuri browserul validează în continuare un certificat pentru numele de gazdă solicitat, și în ambele cazuri o adresă HTTP își trimite în continuare conținutul în clar dincolo de ultimul releu. Compoziția schimbă lista observatorilor; nu schimbă numărul de straturi la destinație.

De aceea sfaturile despre înlănțuire se referă de obicei la modele de amenințare și nu la siguranța în general. Un lanț mai lung nu este o versiune mai puternică a aceluiași lucru, și nu înlocuiește protocolul pe care l-a ales aplicația.

curl -sSI https://example.net | head -3
openssl s_client -connect example.net:443 -servername example.net -brief

Ambele comenzi arată stratul care contează la destinație. A doua tipărește protocolul negociat fără a implica vreun tunel. Niciuna nu îți spune nimic despre ieșirea pe care ai folosit-o.

Păstrează validarea funcțională în timp ce depanezi

Un avertisment de certificat este o informație despre conexiunea pe care urmează să o faci. Poate însemna o nepotrivire a numelui de gazdă, o problemă de ceas, un lanț neîncrezut sau o tentativă de interceptare. Adăugarea unei excepții permanente pentru că este conectat un VPN elimină singurul semnal care ar fi distins acele cazuri.

Funcțiile de conexiune sigură ale Tor Browser și avertismentele sale există din același motiv, iar dezactivarea lor pentru ca o pagină să se încarce schimbă o defecțiune vizibilă cu una invizibilă. Dacă un site nu poate fi atins fără excepție, concluzia onestă este că conexiunea nu este verificabilă, nu că tunelul a făcut-o sigură.

Criptarea nu spune nimic nici despre intenție. O conexiune HTTPS validă către un site înșelător îți livrează datele acelui site cu o confidențialitate perfectă. Verifică adresa și ce trimiți, nu doar dacă lacătul este prezent.

Serviciile Onion sunt un model cu adevărat diferit. Se ajunge la ele prin rețeaua Tor fără o ieșire publică obișnuită, ceea ce nu este același lucru cu accesarea unui site public prin Tor. Tratează asta ca un caz separat, cu propriile așteptări, nu ca o versiune mai puternică a aceleiași vizite.

Regula care supraviețuiește oricărei configurații este scurtă. Păstrează validarea browserului intactă. Judecă fiecare strat după unde se termină de fapt.