VPN a Tor nenahrádzajú HTTPS: kde sa každá vrstva končí
Tunel sa končí u svojho partnera a okruh Tor na výstupnom relé. Iba HTTPS sa dostane až na stránku, takže obyčajný formulár zostáva čitateľný.
VPN aj okruh Tor šifrujú premávku na časti cesty. Obidva prestanú šifrovať u partnera, ktorého si vyberú samy. HTTPS je vrstva, ktorá sa dostane až k samotnej stránke, a žiadne množstvo tunelovania pred ňou nezmení odoslanie obyčajného formulára na chránené. Sledovanie každej vrstvy až po bod, kde sa končí, to robí zjavným.
Tri vrstvy, tri rôzne koncové body
Bežné VPN ukončuje svoj tunel na serveri VPN. Všetko medzi vaším zariadením a týmto serverom je vo vnútri tunela, a všetko po ňom už nie. Okruh Tor sa správa rovnako s iným partnerom a opúšťa sieť na výstupnom relé, ktoré odovzdá vašu požiadavku cieľu.
TLS sa končí na stránke. Certifikát, ktorý ste overili, viaže názov hostiteľa na kľúč, ktorý stránka kontroluje, a relačné kľúče existujú medzi vaším prehliadačom a týmto serverom. Tento koncový bod leží za serverom VPN aj za výstupom Tor.
Tri vrstvy teda majú tri rôzne hranice dôvery a požiadavka prechádza postupne všetkými. Posilnenie jednej nehovorí nič o ostatných a posledná je jediná, na ktorej sa podieľa cieľ.
Čo odhaľuje posledný skok
Ak aplikácia používa obyčajné HTTP, obsah za výstupom môže čítať ktokoľvek, kto tento skok prevádzkuje. Predchádzajúci tunel odviedol svoju prácu dokonale a jednoducho už nie je. Prihlasovacie údaje zadané do formulára HTTP sú vystavené presne v bode, kde sa ochrana skončila.
| Layer | Terminates at | Who can read the request there |
|---|---|---|
| VPN tunnel | The VPN server you selected | The operator of that server, and anyone who can compel them |
| Tor circuit | An exit relay chosen by the network | The exit relay operator, for traffic that is not otherwise protected |
| HTTPS | The website's own TLS endpoint | The site itself, and no intermediary on the path |
Pri správne overenom HTTPS nemôže prostredník na ceste obsah aplikácie čítať ani potichu meniť. Stále vidí, že ste sa pripojili, kedy a na ktorú adresu, pretože hlavičky paketov musia byť smerovateľné. Dôvernosť obsahu a metadáta o spojení sú rôzne vlastnosti a iba prvú poskytuje TLS.
Identita účtu je zase tretia vec. Prihlásenie do účtu vás identifikuje tejto službe bez ohľadu na to, ktorú výstupnú adresu ste použili, takže výstup chráni sieťovú cestu, nie účet. Tento rozdiel prežije akýkoľvek počet vrstiev pred ním. Zmena výstupu nikdy nemení to, čo prezradí prihlásená relácia. Služba vedela, kto ste, skôr ako odišiel prvý paket.
Na tomto usporiadaní nič nepokazí pridanie druhého tunela. Mení sa to, ktorý pozorovateľ vidí prvý skok, nie to, či je posledný skok šifrovaný.
Poradie mení pozorovateľov, nie koncový bod
Reťazenie VPN a Tor je legitímny spôsob, ako na sieťovej úrovni zmeniť, kto čo vidí. Spustenie Toru cez VPN skrýva pred vašou prístupovou sieťou fakt, že Tor používate, zatiaľ čo spustenie VPN cez Tor skrýva vašu adresu pred poskytovateľom VPN. Obe poradia sú opísané vo verejnej dokumentácii a obe majú kompromisy vo výkone a v správaní pri zlyhaní.
Ani jedno poradie neposúva koncový bod TLS. V oboch prípadoch prehliadač stále overuje certifikát pre požadovaný názov hostiteľa a v oboch prípadoch adresa HTTP stále odosiela svoj obsah nešifrovane za posledným relé. Zloženie mení zoznam pozorovateľov; nemení počet vrstiev u cieľa.
Preto sa rady o reťazení zvyčajne týkajú modelov hrozieb a nie bezpečnosti všeobecne. Dlhšia reťaz nie je silnejšou verziou toho istého a nenahrádza protokol, ktorý aplikácia zvolila.
curl -sSI https://example.net | head -3
openssl s_client -connect example.net:443 -servername example.net -briefOba príkazy ukazujú vrstvu, na ktorej u cieľa záleží. Druhý vypíše dohodnutý protokol bez toho, aby zapojil akýkoľvek tunel. Ani jeden vám nepovie nič o výstupe, ktorý ste použili.
Udržte overovanie funkčné, kým riešite problémy
Varovanie o certifikáte je informácia o spojení, ktoré sa chystáte nadviazať. Môže znamenať nezhodu názvu hostiteľa, problém s hodinami, nedôveryhodnú reťaz alebo pokus o odpočúvanie. Pridanie trvalej výnimky preto, že je pripojené VPN, odstráni jediný signál, ktorý by tieto prípady rozlíšil.
Funkcie zabezpečeného pripojenia v Tor Browseri a jeho varovania existujú z rovnakého dôvodu a ich vypnutie, aby sa stránka načítala, vymieňa viditeľné zlyhanie za neviditeľné. Ak sa na stránku nedá dostať bez výnimky, poctivý záver je, že spojenie nemožno overiť, nie že ho tunel urobil bezpečným.
Šifrovanie tiež nehovorí nič o úmysle. Platné spojenie HTTPS s podvodnou stránkou doručí vaše údaje tejto stránke s dokonalou dôvernosťou. Kontrolujte adresu a to, čo odosielate, nie len to, či je prítomný zámok.
Služby Onion sú skutočne iný model. Dosahuje sa ich cez sieť Tor bez bežného verejného výstupu, čo nie je to isté ako prístup na verejnú stránku cez Tor. Berte to ako samostatný prípad s vlastnými očakávaniami, nie ako silnejšiu verziu tej istej návštevy.
Pravidlo, ktoré prežije každú konfiguráciu, je krátke. Zachovajte overovanie prehliadača nedotknuté. Posudzujte každú vrstvu podľa toho, kde sa skutočne končí.