Što tunel šifrira, a što ostavlja čitljivim

Tunel vam radi, jedna kartica pokazuje zeleni lokot, a obična HTTP stranica u drugoj kartici i dalje upozorava da veza nije sigurna. Ta kombinacija zbunjuje ljude jer dvije zaštite pokrivaju različite udaljenosti. VPN štiti promet između vlastitih krajnjih točaka, a nakon izlaza promet ponovno postaje običan. HTTPS štiti jednu vezu sve do web-mjesta. Kad se te dvije činjenice stave jedna uz drugu, objašnjeno je većina pitanja o tome što VPN zapravo skriva.

Što tunel zapravo pokriva

Između klijenta i VPN partnera promatrač vidi šifrirane bajtove, a ne čitljiv zahtjev. To pokriva dionicu koju tunel prelazi, a to je obično dio koji ne kontrolirate. Ne proteže se na vezu između VPN izlaza i web-mjesta jer je tunel završio na izlazu. Bajtovi su ponovno čitljivi od trenutka kada tunel prestane. Ništa u tome nije pogrešna konfiguracija.

Izlaz je stroj koji dešifrira i prosljeđuje, a upravo tome VPN služi. Sve što proslijedi vidljivo mu je u obliku u kojem je primljeno, pa običan HTTP zahtjev ostaje običan tekst od izlaza nadalje.

Čitajte to kao svojstvo, a ne kao nedostatak. Šifriranje je ograničeno na putanju, a putanja završava tamo gdje usluga počinje.

Ključevi, nonce i cjelovitost jednostavnim riječima

Tekući promet zaštićen je simetričnom kriptografijom, a oba kraja izvode ili dobivaju ključni materijal tijekom rukovanja. Autentificirano šifriranje, opisano općenito u RFC 5116, daje povjerljivost i cjelovitost u jednoj konstrukciji. Primatelj odbija izmijenjene bajtove umjesto da ih samo ne uspije pročitati, i to je dio koji ljudi zaborave kad misle da šifriranje znači izmiješati.

Ključevi dolaze iz te razmjene, a ne iz lozinke upisane pri prijavi. Lozinka autentificira identitet, a protokol zatim uspostavlja sesijski materijal. Efemerna razmjena ključeva daje unaprijednu tajnovitost, pa snimljena sesija ostaje nečitljiva čak i ako dugoročni ključ kasnije iscuri.

Velik broj u specifikaciji ne odgovara ni na jedno od tih pitanja, a usporedba brojeva između nepovezanih algoritama nije rangiranje. Pitajte umjesto toga što razmjena ključeva pruža.

Gdje tunel završava

Krajnja točka koja prekida tunel može čitati ono što prosljeđuje. To vrijedi jednako za korporativni pristupnik, komercijalnog pružatelja i vlastiti poslužitelj. To je dizajn, a ne nedostatak u njemu. Jaka kriptografija ne može spriječiti kompromitiranu krajnju točku da čita običan tekst koji do nje dolazi, jer se zaštita zaustavlja upravo na krajnjoj točki.

HTTPS se nastavlja nakon te točke, zato web-mjesto može biti sigurno na neprijateljskoj mreži i bez VPN-a. Dvije zaštite preklapaju se na prvoj dionici i samo jedna nastavlja nakon izlaza.

Zato slabljenje provjere certifikata da bi veza proradila nije test tunela. Ono isključuje drugu zaštitu i ostavlja vas s manje nego što ste imali na početku.

Zašto je anonimnost drugi proizvod

Adrese, vrijeme i obujam ostaju vidljivi izvan tunela. Promatrač može vidjeti da promet teče prema VPN krajnjoj točki, otprilike koliko i kada. Sadržaj može biti nečitljiv dok obrazac još nosi informaciju.

Pružatelj se također nalazi na drugom mjestu od vaše mreže, što je promjena promatrača, a ne uklanjanje promatranja. Kolačići, prijave i identifikatori računa rade isto kao prije jer tunel nikada nije obećao da će ih mijenjati.

Odaberite pružatelja prema politici evidentiranja i nadležnosti ako je to uvjet, a zatim pročitajte samu politiku. Marketinške stranice rijetko odgovaraju na to pitanje tako da se može provjeriti.

Provjerite tunel i web-mjesto odvojeno

Najprije provjerite tunel da biste znali koju zaštitu testirate. Zatim provjerite vlastiti prijenos web-mjesta i usporedite dva rezultata umjesto da pretpostavljate da jedno podrazumijeva drugo. Tunel koji prenosi običan HTTP i web-mjesto koje poslužuje HTTPS rade točno ono za što su konfigurirani.

Izvršite provjere prema hostu koji vam je dopušteno testirati i čitajte izlaz, a ne sažetak.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

Kada je tunel aktivan i web-mjesto je HTTPS, imate dvije zaštite na prvoj dionici i jednu na drugoj. Kada je web-mjesto običan HTTP, druga dionica je čitljiva svima na njoj, uključujući izlaz koji je proslijedio zahtjev. Znati koja od dvije nedostaje cijela je dijagnoza, a za to su potrebne dvije naredbe, a ne novi klijent.