Kaj predor šifrira in kaj pusti berljivo

Vaš predor je vzpostavljen, en zavihek prikazuje zeleno ključavnico, navadna stran HTTP v drugem zavihku pa še vedno opozarja, da povezava ni varna. Ta kombinacija zmede ljudi, ker obe zaščiti pokrivata različne razdalje. VPN ščiti promet med svojima koncema, onkraj izhoda pa je promet spet običajen. HTTPS ščiti eno povezavo vse do spletnega mesta. Če ti dve dejstvi postavimo drugo ob drugo, to pojasni večino vprašanj o tem, kaj VPN v resnici skriva.

Kaj predor dejansko pokriva

Med odjemalcem in partnerjem VPN opazovalec vidi šifrirane bajte in ne berljive zahteve. To pokriva odsek, ki ga predor prečka, in to je običajno tisti del, ki ga ne nadzorujete. Ne sega do povezave med izhodom VPN in spletnim mestom, ker se je predor končal na izhodu. Bajti so spet berljivi od trenutka, ko se predor konča. Nič pri tem ni napačna nastavitev.

Izhod je stroj, ki dešifrira in posreduje naprej, in prav za to je VPN namenjen. Vse, kar posreduje, je zanj vidno v obliki, v kateri je bilo prejeto, zato navadna zahteva HTTP od izhoda naprej ostane golo besedilo.

Berite to kot lastnost in ne kot napako. Šifriranje je omejeno na pot, pot pa se konča tam, kjer se začne storitev.

Ključi, nonce in celovitost z enostavnimi besedami

Tekoči promet je zaščiten s simetrično kriptografijo in oba konca med rokovanjem izpeljeta ali pridobita ključni material. Overjeno šifriranje, ki ga na splošno opisuje RFC 5116, daje zaupnost in celovitost v eni zgradbi. Prejemnik zavrne spremenjene bajte, namesto da bi jih le ne mogel prebrati, in prav to ljudje pozabijo, ko mislijo, da šifriranje pomeni mešanje.

Ključi prihajajo iz te izmenjave, ne iz gesla, vpisanega ob prijavi. Geslo overi identiteto, nato protokol vzpostavi sejni material. Efemerna izmenjava ključev daje vnaprejšnjo tajnost, zato posneta seja ostane neberljiva, tudi če pozneje uide dolgoročni ključ.

Veliko število v specifikaciji ne odgovori na nobeno od teh vprašanj, primerjanje števil med nepovezanimi algoritmi pa ni razvrstitev. Vprašajte raje, kaj zagotavlja izmenjava ključev.

Kje se predor konča

Končna točka, ki konča predor, lahko bere, kar posreduje naprej. To velja enako za podjetniški prehod, komercialnega ponudnika in lastni strežnik. To je zasnova, ne napaka. Močna kriptografija ne more preprečiti ogroženi končni točki branja golega besedila, ki prispe do nje, ker se zaščita ustavi prav na končni točki.

HTTPS se nadaljuje onkraj te točke, zato je lahko spletno mesto varno v sovražnem omrežju tudi brez VPN. Obe zaščiti se prekrivata na prvem odseku in po izhodu se nadaljuje le ena od njiju.

Zato slabitev preverjanja potrdila, da bi povezava delovala, ni preizkus predora. Izklopi drugo zaščito in vas pusti z manj, kot ste imeli na začetku.

Zakaj je anonimnost drug izdelek

Naslovi, čas in obseg ostanejo zunaj predora opazljivi. Opazovalec lahko vidi, da promet teče proti končni točki VPN, približno koliko in kdaj. Vsebina je lahko neberljiva, medtem ko vzorec še vedno nosi informacijo.

Ponudnik tudi sedi drugje kot vaše omrežje, kar je sprememba opazovalca in ne odprava opazovanja. Piškotki, prijave in identifikatorji računa delujejo natanko kot prej, ker predor ni nikoli obljubil, da jih bo spremenil.

Če je to zahteva, izberite ponudnika po njegovi politiki beleženja in pristojnosti, nato preberite še samo politiko. Marketinške strani na to vprašanje redko odgovorijo tako, da bi to lahko kdor koli preveril.

Preverite predor in spletno mesto ločeno

Najprej preverite predor, da boste vedeli, katero zaščito preizkušate. Nato preverite lastni prenos spletnega mesta in primerjajte oba rezultata, namesto da bi domnevali, da eno pomeni drugo. Predor, ki prenaša navaden HTTP, in spletno mesto, ki streže HTTPS, delata natanko to, za kar sta nastavljena.

Preizkuse izvajajte proti gostitelju, ki ga smete testirati, in berite izpis, ne povzetka.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

Ko je predor vzpostavljen in je spletno mesto HTTPS, imate dve zaščiti na prvem odseku in eno na drugem. Ko je spletno mesto navaden HTTP, je drugi odsek berljiv vsem, ki so tam, vključno z izhodom, ki je zahtevo posredoval naprej. Vedenje, katera od obeh manjka, je celotna diagnoza, in za to sta potrebna dva ukaza, ne nov odjemalec.