Ce criptează tunelul și ce lasă lizibil

Tunelul tău este activ, un tab arată un lacăt verde, iar o pagină HTTP simplă din alt tab avertizează în continuare că conexiunea nu este sigură. Această combinație îi încurcă pe oameni pentru că cele două protecții acoperă distanțe diferite. Un VPN protejează traficul între propriile capete, iar dincolo de ieșire traficul redevene obișnuit. HTTPS protejează o singură conexiune până la site. Punerea acestor două fapte alături explică majoritatea întrebărilor despre ce ascunde de fapt un VPN.

Ce acoperă de fapt tunelul

Între client și partenerul VPN, un observator vede octeți criptați în locul unei cereri lizibile. Aceasta acoperă segmentul pe care îl traversează tunelul, care este de obicei partea pe care nu o controlezi. Nu se extinde la legătura dintre ieșirea VPN și site, pentru că tunelul s-a terminat la ieșire. Octeții redevin lizibili din momentul în care tunelul se încheie. Nimic din toate acestea nu este o configurație greșită.

Ieșirea este o mașină care decriptează și redirecționează, iar exact pentru asta există un VPN. Tot ce redirecționează este vizibil pentru ea în forma în care a fost primit, așa că o cerere HTTP simplă rămâne text simplu de la ieșire încolo.

Citește asta ca pe o proprietate, nu ca pe un defect. Criptarea este limitată la o cale, iar calea se termină acolo unde începe serviciul.

Chei, nonce și integritate pe înțeles

Traficul curent este protejat cu criptografie simetrică, iar ambele capete derivă sau obțin materialul de cheie în timpul strângerii de mână. Criptarea autentificată, descrisă în termeni generali de RFC 5116, oferă confidențialitate și integritate într-o singură construcție. Receptorul respinge octeții modificați în loc să nu reușească pur și simplu să îi citească, iar aceasta este partea pe care oamenii o uită când cred că criptarea înseamnă amestecare.

Cheile provin din acel schimb, nu din parola tastată la autentificare. Parola autentifică o identitate, iar apoi protocolul stabilește materialul sesiunii. Schimbul efemer de chei dă secretul înainte, astfel încât o sesiune înregistrată rămâne ilizibilă chiar dacă mai târziu se scurge o cheie pe termen lung.

Un număr mare într-o specificație nu răspunde la niciuna dintre aceste întrebări, iar compararea numerelor între algoritmi fără legătură nu este un clasament. Întreabă mai bine ce oferă schimbul de chei.

Unde se termină tunelul

Capătul care încheie tunelul poate citi ce redirecționează. Acest lucru este valabil la fel pentru o poartă corporate, un furnizor comercial și un server găzduit propriu. Este proiectul, nu un defect al lui. Criptografia puternică nu poate împiedica un capăt compromis să citească textul simplu care ajunge la el, pentru că la capăt se oprește protecția.

HTTPS continuă dincolo de acel punct, de aceea un site poate fi sigur într-o rețea ostilă chiar și fără VPN. Cele două protecții se suprapun pe primul segment și doar una continuă după ieșire.

De aceea slăbirea verificării certificatului ca să funcționeze o conexiune nu este un test al tunelului. Dezactivează o altă protecție și te lasă cu mai puțin decât aveai la început.

De ce anonimatul este alt produs

Adresele, momentul și volumul rămân observabile în afara tunelului. Un observator poate vedea că traficul curge către un capăt VPN, aproximativ cât și când. Conținutul poate fi ilizibil în timp ce modelul este încă informativ.

Furnizorul se află și într-un loc diferit de rețeaua ta, ceea ce este o schimbare a observatorului, nu o eliminare a observării. Cookie-urile, autentificările și identificatorii de cont funcționează exact ca înainte, pentru că tunelul nu a promis niciodată că îi va schimba.

Alege un furnizor după politica sa de jurnalizare și jurisdicție dacă aceasta este cerința, apoi citește politica în sine. Paginile de marketing rar răspund la această întrebare într-un mod pe care cineva îl poate verifica.

Verifică tunelul și site-ul separat

Verifică mai întâi tunelul, ca să știi ce protecție testezi. Apoi verifică transportul propriu al site-ului și compară cele două rezultate în loc să presupui că unul îl implică pe celălalt. Un tunel care transportă HTTP simplu și un site care servește HTTPS fac exact ceea ce au fost configurate să facă.

Rulează verificările împotriva unui host pe care ai voie să îl testezi și citește ieșirea, nu rezumatul.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

Când tunelul este activ și site-ul este HTTPS, ai două protecții pe primul segment și una pe al doilea. Când site-ul este HTTP simplu, al doilea segment este lizibil de oricine se află acolo, inclusiv de ieșirea care a redirecționat cererea. Să știi care dintre cele două lipsește este întregul diagnostic, iar asta cere două comenzi în loc de un client nou.