VPN dhe Tor nuk zëvendësojnë HTTPS: ku mbaron çdo shtresë

Një VPN dhe një qark Tor e kriptojnë të dy trafikun tënd për një pjesë të udhëtimit. Të dy ndalojnë së kriptuari te një partner që e zgjedhin vetë. HTTPS është shtresa që arrin vetë faqen, dhe asnjë sasi tunelimi përpara saj nuk e kthen dërgimin e një formulari të thjeshtë në një të mbrojtur. Ndjekja e secilës shtresë deri në pikën ku mbaron e bën këtë të qartë.

Tri shtresa, tre pika fundore të ndryshme

Një VPN konvencional e përfundon tunelin e vet te serveri VPN. Gjithçka midis pajisjes tënde dhe atij serveri është brenda tunelit, dhe gjithçka pas tij nuk është. Një qark Tor sillet njësoj me një partner tjetër, duke e lënë rrjetin te një rele daljeje që e përcjell kërkesën tënde te destinacioni.

TLS mbaron te faqja. Certifikata që verifikove lidh një emër hosti me një çelës që faqja kontrollon, dhe çelësat e sesionit ekzistojnë midis shfletuesit tënd dhe atij serveri. Ajo pikë fundore ndodhet përtej serverit VPN dhe daljes Tor.

Pra tri shtresat kanë tri kufij besimi të ndryshëm, dhe një kërkesë kalon nëpër të gjitha me radhë. Forcimi i njërës nuk thotë asgjë për të tjerat, dhe e fundit është e vetmja në të cilën merr pjesë destinacioni.

Çfarë zbulon kërcimi i fundit

Nëse aplikacioni përdor HTTP të thjeshtë, përmbajtja përtej daljes është e lexueshme nga kushdo që e operon atë kërcim. Tuneli i mëparshëm e bëri punën e vet në mënyrë të përsosur dhe thjesht nuk është më aty. Kredencialet e shtypura në një formular HTTP ekspozohen pikërisht në pikën ku mbaroi mbrojtja.

Me HTTPS të verifikuar saktë, një ndërmjetës në rrugë nuk mund ta lexojë ose ndryshojë në heshtje përmbajtjen e aplikacionit. Ai ende e sheh që u lidhët, kur dhe në çfarë adrese, sepse titujt e paketave duhet të jenë të rrugëtueshëm. Konfidencialiteti i përmbajtjes dhe metadata për lidhjen janë veti të ndryshme, dhe vetëm e para është ajo që ofron TLS.

Identiteti i llogarisë është përsëri një gjë e tretë. Hyrja në një llogari ju identifikon atij shërbimi pavarësisht nga adresa e daljes që përdore, prandaj dalja mbron rrugën e rrjetit dhe jo llogarinë. Ky dallim i mbijeton çdo numri shtresash përpara. Ndryshimi i daljeve nuk ndryshon kurrë atë që zbulon një sesion i hapur. Shërbimi e dinte kush ishe përpara se të nisej paketa e parë.

Asgjë në këtë rregullim nuk prishet duke shtuar një tunel të dytë. Ajo që ndryshon është cili vëzhgues e sheh kërcimin e parë, jo nëse kërcimi i fundit është i kriptuar.

Rendi ndryshon vëzhguesit, jo pikën fundore

Zinxhirimi i VPN dhe Tor është një mënyrë legjitime për të ndryshuar kush sheh çfarë në nivelin e rrjetit. Të ekzekutosh Tor mbi VPN i fsheh rrjetit tënd të aksesit faktin që përdor Tor, ndërsa të ekzekutosh VPN mbi Tor ia fsheh adresën tënde ofruesit të VPN. Të dy rendet përshkruhen në dokumentacion publik dhe të dy kanë kompromise në performancë dhe në sjelljen gjatë dështimit.

Asnjëri rend nuk e lëviz pikën fundore TLS. Në të dyja rastet shfletuesi verifikon ende një certifikatë për emrin e hostit të kërkuar, dhe në të dyja rastet një URL HTTP vazhdon ta dërgojë përmbajtjen e vet hapur përtej relesë së fundit. Përbërja ndryshon listën e vëzhguesve; nuk ndryshon numrin e shtresave te destinacioni.

Kjo është arsyeja pse këshillat për zinxhirim zakonisht kanë të bëjnë me modelet e kërcënimit dhe jo me sigurinë në përgjithësi. Një zinxhir më i gjatë nuk është një version më i fortë i së njëjtës gjë, dhe nuk e zëvendëson protokollin që zgjodhi aplikacioni.

curl -sSI https://example.net | head -3
openssl s_client -connect example.net:443 -servername example.net -brief

Të dyja komandat tregojnë shtresën që ka rëndësi te destinacioni. E dyta shtyp protokollin e negociuar pa përfshirë asnjë tunel. Asnjëra nuk të thotë asgjë për daljen që përdore.

Mbaje verifikimin funksional ndërsa diagnostikon

Një paralajmërim certifikate është informacion për lidhjen që je gati të bësh. Mund të nënkuptojë mospërputhje të emrit të hostit, problem me orën, zinxhir të pabesueshëm ose një përpjekje përgjimi. Shtimi i një përjashtimi të përhershëm sepse është i lidhur një VPN heq sinjalin e vetëm që do t'i kishte dalluar ato raste.

Funksionet e lidhjes së sigurt të Tor Browser dhe paralajmërimet e tij ekzistojnë për të njëjtën arsye, dhe çaktivizimi i tyre që faqja të ngarkohet shkëmben një dështim të dukshëm me një të padukshëm. Nëse një faqe nuk arrihet pa përjashtim, përfundimi i ndershëm është se lidhja nuk është e verifikueshme, jo se tuneli e bëri atë të sigurt.

Kriptimi gjithashtu nuk thotë asgjë për qëllimin. Një lidhje HTTPS e vlefshme me një faqe mashtruese i dërgon të dhënat e tua asaj faqeje me konfidencialitet të përsosur. Kontrollo adresën dhe atë që dërgon, jo vetëm nëse ka dry.

Shërbimet Onion janë një model vërtet i ndryshëm. Arrihen përmes rrjetit Tor pa një dalje publike të zakonshme, gjë që nuk është njësoj si të hysh në një faqe publike përmes Tor. Trajtoje atë si një rast të veçantë me pritshmëritë e veta, jo si një version më të fortë të së njëjtës vizitë.

Rregulli që i mbijeton çdo konfigurimi është i shkurtër. Mbaje verifikimin e shfletuesit të paprekur. Gjyko çdo shtresë nga vendi ku mbaron në të vërtetë.