Почему HTTPS по-прежнему важен после окончания туннеля VPN

Зелёный индикатор VPN, ощущение приватности, а затем браузер выдаёт предупреждение о сертификате на сайте банка. Ничто в этом предупреждении не улучшается из-за туннеля. VPN защищает путь от устройства до собственного сервера; HTTPS защищает запрос от браузера до конечной точки TLS сайта. Они покрывают разные участки пути, и одно не заменяет другое.

Два туннеля с двумя разными концами

Туннель VPN заканчивается на сервере VPN. После этой точки трафик продолжает идти по обычному интернету к месту назначения. Оператор VPN видит метаданные соединения, хотя не может читать содержимое.

HTTPS начинается в браузере и заканчивается в конечной точке TLS сайта. Ему всё равно, как пакет дошёл до сервера, и он не зависит от наличия VPN.

Поэтому две защиты дополняют друг друга, а не соревнуются. VPN скрывает запрос от локальной сети и от провайдера до своего выхода. HTTPS скрывает его от каждого наблюдателя после этого выхода, включая самого провайдера VPN. Ни одна не закрывает пробел другой. Кто это понимает, перестаёт спрашивать, какой достаточно.

Обычная форма HTTP остаётся обычной и после выхода

Старый сайт, принимающий форму по HTTP, за сервером VPN не защищён. Туннель несёт форму до выхода, а остальная часть маршрута несёт её открыто.

Для всего чувствительного используйте настоящую версию HTTPS или другой официальный канал.

Индикатор подключения не меняет транспорт приложения. Режим «только HTTPS» в браузере может помочь предотвратить случайный откат, но он не исправит сайт, который никогда не предлагал TLS.

Предупреждение о сертификате не лечится VPN

Неверное имя хоста, истёкший сертификат, скошенные часы устройства или перехват — всё это может вызвать ошибку проверки. VPN не делает ни одно из этого безвредным.

Прежде всего проверьте точный адрес и системные часы.

Если участвует страница входа в сеть, используйте обычный процесс captive portal платформы. Не давайте постоянное исключение постороннему сайту аккаунта только потому, что об этом попросила гостиничная сеть.

На управляемом устройстве спросите, установлен ли сертификат инспекции. Это меняет обычный порядок доверия и заслуживает конкретного объяснения, а не пожатия плечами. Спросите о назначении сертификата и о том, кому он принадлежит.

Шифрование не останавливает отслеживание

Сеанс несёт файлы cookie, входы и данные форм на сайт ровно так, как задумано. Трекер тоже может ехать по зашифрованному соединению, и большинство так и делает.

VPN меняет маршрут и видимый адрес выхода. Он не меняет личность, которую вы передаёте через аккаунт, и не стирает cookie, который следует за вами между сайтами.

Сохраняйте те защиты браузера, которые уже используете. VPN — это дополнение к ним, а не замена.

Проверяйте адрес, а не индикатор

Проверьте имя хоста в адресной строке и сертификат, который представляет сайт. Замок означает, что соединение зашифровано до какой-то конечной точки; это не значит, что эта конечная точка — та, которую вы имели в виду.

Две команды показывают сертификат и цепочку перенаправлений:

curl -sSI https://bank.example/ | head -5
openssl s_client -connect bank.example:443 -servername bank.example < /dev/null 2>/dev/null | openssl x509 -noout -subject -dates

Если сертификат указывает другой хост, остановитесь. Если часы неверны, исправьте их перед повторной попыткой. Если перенаправление отправляет вас на простой HTTP, считайте это сбоем сайта, а не поводом отключить проверку. Предупреждение браузера существует потому, что альтернатива — догадываться, какая конечная точка получила ваш пароль.