Čo tunel šifruje a čo necháva čitateľné

Tunel beží, jedna karta zobrazuje zelený zámok a obyčajná HTTP stránka v inej karte stále varuje, že spojenie nie je zabezpečené. Táto kombinácia mätie ľudí, pretože obe ochrany pokrývajú rôzne vzdialenosti. VPN chráni prevádzku medzi vlastnými koncovými bodmi a za výstupom je prevádzka opäť obyčajná. HTTPS chráni jedno spojenie až k webu. Keď sa tieto dva fakty položia vedľa seba, vysvetlí to väčšinu otázok o tom, čo VPN vlastne skrýva.

Čo tunel skutočne pokrýva

Medzi klientom a partnerom VPN vidí pozorovateľ šifrované bajty, nie čitateľnú požiadavku. To pokrýva úsek, ktorý tunel prechádza, a to je zvyčajne tá časť, ktorú neovládate. Nesiaha na spojenie medzi výstupom VPN a webom, pretože tunel sa skončil na výstupe. Bajty sú znova čitateľné od okamihu, keď tunel skončí. Nič z toho nie je chybná konfigurácia.

Výstup je stroj, ktorý dešifruje a posiela ďalej, a presne na to slúži VPN. Všetko, čo posiela ďalej, je preň viditeľné v podobe, v akej to dostalo, takže obyčajná HTTP požiadavka zostáva od výstupu ďalej obyčajným textom.

Čítajte to ako vlastnosť, nie ako chybu. Šifrovanie je obmedzené na cestu a cesta končí tam, kde sa začína služba.

Kľúče, nonce a integrita po lopate

Prebiehajúca prevádzka je chránená symetrickou kryptografiou a oba konce odvodzujú alebo získavajú kľúčový materiál počas handshaku. Autentizované šifrovanie, opísané všeobecne v RFC 5116, dáva dôvernosť aj integritu v jednej konštrukcii. Príjemca odmieta zmenené bajty, namiesto aby ich len nedokázal prečítať, a práve to ľudia zabúdajú, keď si myslia, že šifrovanie znamená miešanie.

Kľúče pochádzajú z tejto výmeny, nie z hesla zadaného pri prihlásení. Heslo autentizuje identitu a protokol potom ustanoví materiál relácie. Efemérna výmena kľúčov dáva doprednú utajenosť, takže zaznamenaná relácia zostane nečitateľná, aj keď neskôr unikne dlhodobý kľúč.

Veľké číslo v špecifikácii neodpovedá na žiadnu z tých otázok a porovnávanie čísel medzi nesúvisiacimi algoritmami nie je rebríček. Pýtajte sa namiesto toho, čo výmena kľúčov poskytuje.

Kde tunel končí

Koncový bod, ktorý tunel ukončuje, môže čítať to, čo posiela ďalej. Platí to rovnako pre firemnú bránu, komerčného poskytovateľa aj vlastný server. Je to dizajn, nie jeho chyba. Silná kryptografia nezabráni kompromitovanému koncovému bodu čítať obyčajný text, ktorý k nemu prichádza, pretože práve v koncovom bode sa ochrana zastaví.

HTTPS pokračuje za týmto bodom, a preto môže byť web bezpečný aj v nepriateľskej sieti bez VPN. Obe ochrany sa prekrývajú v prvom úseku a po výstupe pokračuje len jedna z nich.

Preto oslabenie overovania certifikátu, aby spojenie fungovalo, nie je test tunela. Vypína inú ochranu a necháva vás s menej, než ste mali na začiatku.

Prečo je anonymita iný produkt

Adresy, časovanie a objem zostávajú mimo tunela pozorovateľné. Pozorovateľ môže vidieť, že prevádzka tečie ku koncovému bodu VPN, približne koľko a kedy. Obsah môže byť nečitateľný, zatiaľ čo vzorec stále nesie informáciu.

Poskytovateľ tiež sídli inde než vaša sieť, čo je zmena pozorovateľa, nie odstránenie pozorovania. Cookies, prihlásenia a identifikátory účtu fungujú presne ako predtým, pretože tunel nikdy nesľúbil, že ich zmení.

Vyberte poskytovateľa podľa jeho zásad protokolovania a jurisdikcie, ak je to požiadavka, a potom si prečítajte samotné zásady. Marketingové stránky na túto otázku zriedka odpovedajú tak, aby to niekto mohol overiť.

Overujte tunel a web oddelene

Najprv overte tunel, aby ste vedeli, ktorú ochranu testujete. Potom overte vlastný prenos webu a oba výsledky porovnajte, namiesto toho, aby ste predpokladali, že jedno znamená druhé. Tunel, ktorý prenáša obyčajné HTTP, a web, ktorý poskytuje HTTPS, robia presne to, na čo boli nastavené.

Spúšťajte kontroly proti hostiteľovi, ktorý smiete testovať, a čítajte výstup, nie zhrnutie.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

Keď tunel beží a web je HTTPS, máte dve ochrany v prvom úseku a jednu v druhom. Keď je web obyčajné HTTP, druhý úsek je čitateľný pre kohokoľvek v ňom, vrátane výstupu, ktorý požiadavku poslal ďalej. Vedieť, ktorá z tých dvoch chýba, je celá diagnóza, a treba na to dva príkazy, nie nového klienta.