VPN и Tor не заменяют HTTPS: где заканчивается каждый уровень

VPN и цепочка Tor шифруют ваш трафик на части пути. Оба перестают шифровать его на партнёре, которого выбирают сами. HTTPS — это уровень, который доходит до самого сайта, и никакое количество туннелей перед ним не превращает отправку обычной формы в защищённую. Прослеживание каждого уровня до точки, где он заканчивается, делает это очевидным.

Три уровня, три разные конечные точки

Обычный VPN завершает свой туннель на VPN-сервере. Всё между вашим устройством и этим сервером находится внутри туннеля, а всё после него — нет. Цепочка Tor ведёт себя так же с другим партнёром и покидает сеть на выходном узле, который передаёт ваш запрос к месту назначения.

TLS завершается на сайте. Сертификат, который вы проверили, связывает имя хоста с ключом, контролируемым сайтом, а сеансовые ключи существуют между вашим браузером и этим сервером. Эта конечная точка находится за пределами и VPN-сервера, и выхода Tor.

Итак, у трёх уровней три разные границы доверия, и запрос последовательно проходит через все. Усиление одного ничего не говорит об остальных, и последний — единственный, в котором участвует место назначения.

Что раскрывает последний шаг

Если приложение использует обычный HTTP, содержимое за выходом доступно для чтения любому, кто управляет этим шагом. Прежний туннель выполнил свою работу безупречно, и его просто больше нет. Учётные данные, введённые в HTTP-форму, оказываются открытыми ровно в той точке, где закончилась защита.

При корректно проверенном HTTPS посредник на пути не может прочитать или молча изменить содержимое приложения. Он всё ещё видит, что вы подключились, когда и к какому адресу, потому что заголовки пакетов должны быть маршрутизируемыми. Конфиденциальность содержимого и метаданные о соединении — разные свойства, и только первое обеспечивает TLS.

Идентичность учётной записи — это снова третье. Вход в учётную запись идентифицирует вас перед этим сервисом независимо от того, какой выходной адрес вы использовали, поэтому выход защищает сетевой путь, а не учётную запись. Это различие переживает любое количество уровней перед ним. Смена выхода никогда не меняет того, что раскрывает сеанс с выполненным входом. Сервис знал, кто вы, ещё до того, как ушёл первый пакет.

Ничто в этой схеме не ломается от добавления второго туннеля. Меняется то, какой наблюдатель видит первый шаг, а не то, зашифрован ли последний.

Порядок меняет наблюдателей, а не конечную точку

Связывание VPN и Tor в цепочку — законный способ изменить то, кто что видит на сетевом уровне. Запуск Tor через VPN скрывает от вашей сети доступа сам факт использования Tor, а запуск VPN через Tor скрывает ваш адрес от провайдера VPN. Оба порядка описаны в публичной документации, и у обоих есть компромиссы в производительности и поведении при сбоях.

Ни один из порядков не сдвигает конечную точку TLS. В обоих случаях браузер по-прежнему проверяет сертификат для запрошенного имени хоста, и в обоих случаях адрес HTTP по-прежнему отправляет своё содержимое открыто после последнего узла. Композиция меняет список наблюдателей; она не меняет число уровней в месте назначения.

Поэтому советы о связывании обычно касаются моделей угроз, а не безопасности вообще. Более длинная цепочка не является усиленной версией того же самого, и она не заменяет протокол, который выбрало приложение.

curl -sSI https://example.net | head -3
openssl s_client -connect example.net:443 -servername example.net -brief

Обе команды показывают уровень, важный в месте назначения. Вторая выводит согласованный протокол, не задействуя никакой туннель. Ни одна не говорит вам ничего о выходе, который вы использовали.

Сохраняйте проверку работоспособной, пока ищете неисправность

Предупреждение о сертификате — это информация о соединении, которое вы собираетесь установить. Оно может означать несовпадение имени хоста, проблему с часами, недоверенную цепочку или попытку перехвата. Добавление постоянного исключения из-за подключённого VPN убирает единственный сигнал, который различил бы эти случаи.

Функции безопасного соединения Tor Browser и его предупреждения существуют по той же причине, и их отключение ради загрузки страницы меняет видимый сбой на невидимый. Если до сайта нельзя добраться без исключения, честный вывод — соединение не поддаётся проверке, а не то, что туннель сделал его безопасным.

Шифрование также ничего не говорит о намерении. Действительное HTTPS-соединение с обманным сайтом доставляет ваши данные этому сайту с идеальной конфиденциальностью. Проверяйте адрес и то, что вы отправляете, а не только наличие замка.

Сервисы Onion — действительно другая модель. К ним попадают через сеть Tor без обычного публичного выхода, и это не то же самое, что заходить на публичный сайт через Tor. Относитесь к этому как к отдельному случаю с собственными ожиданиями, а не как к усиленной версии того же визита.

Правило, которое выдерживает любую конфигурацию, короткое. Сохраняйте проверку браузера нетронутой. Оценивайте каждый уровень по тому, где он действительно заканчивается.