Çfarë kripton tuneli dhe çfarë lë të lexueshme

Tuneli juaj është aktiv, një skedë shfaq një dry të gjelbër, dhe një faqe e thjeshtë HTTP në një skedë tjetër ende paralajmëron se lidhja nuk është e sigurt. Ky kombinim i huton njerëzit sepse dy mbrojtjet mbulojnë distanca të ndryshme. Një VPN mbron trafikun midis skajeve të veta, dhe përtej daljes trafiku bëhet përsëri i zakonshëm. HTTPS mbron një lidhje deri te faqja e internetit. Vendosja e këtyre dy fakteve përbri shpjegon shumicën e pyetjeve rreth asaj që një VPN fsheh në të vërtetë.

Çfarë mbulon në të vërtetë tuneli

Midis klientit dhe partnerit VPN, një vëzhgues sheh bajt të kriptuar dhe jo një kërkesë të lexueshme. Kjo mbulon segmentin që kalon tuneli, dhe zakonisht është pjesa që ju nuk e kontrolloni. Nuk shtrihet deri te lidhja midis daljes së VPN dhe faqes, sepse tuneli përfundoi në dalje. Bajt bëhen përsëri të lexueshëm nga momenti kur tuneli përfundon. Asgjë në këtë nuk është konfigurim i gabuar.

Dalja është një makinë që dekripton dhe përçon, dhe pikërisht për këtë shërben një VPN. Çdo gjë që përçon është e dukshme për të në formën që e ka marrë, prandaj një kërkesë e thjeshtë HTTP mbetet tekst i thjeshtë nga dalja e tutje.

Lexojeni këtë si veti dhe jo si defekt. Kriptimi është i kufizuar në një rrugë, dhe rruga përfundon aty ku fillon shërbimi.

Çelësat, nonce dhe integriteti me fjalë të thjeshta

Trafiku në rrjedhë mbrohet me kriptografi simetrike, dhe të dy skajet nxjerrin ose marrin materialin e çelësit gjatë shtrëngimit të duarve. Kriptimi i vërtetuar, i përshkruar në terma të përgjithshëm nga RFC 5116, jep konfidencialitet dhe integritet në një ndërtim të vetëm. Marrësi i refuzon bajt e ndryshuar në vend që thjesht të mos arrijë t'i lexojë, dhe kjo është pjesa që njerëzit harrojnë kur mendojnë se kriptimi do të thotë përzierje.

Çelësat vijnë nga ai shkëmbim, jo nga fjalëkalimi i shtypur në hyrje. Fjalëkalimi vërteton një identitet, dhe më pas protokolli vendos materialin e sesionit. Shkëmbimi efemer i çelësave është ai që jep fshehtësi përpara, kështu që një sesion i regjistruar mbetet i palexueshëm edhe nëse një çelës afatgjatë rrjedh më vonë.

Një numër i madh në një specifikim nuk i përgjigjet asnjërës prej këtyre pyetjeve, dhe krahasimi i numrave midis algoritmeve të palidhura nuk është renditje. Pyesni në vend të kësaj çfarë ofron shkëmbimi i çelësave.

Ku përfundon tuneli

Skaji që përfundon tunelin mund të lexojë atë që përçon. Kjo vlen njësoj për një portë korporative, një ofrues komercial dhe një server të vetëstrehuar. Ky është dizajni, jo një defekt në të. Kriptografia e fortë nuk mund të ndalojë një skaj të komprometuar të lexojë tekstin e thjeshtë që arrin atje, sepse skaji është vendi ku ndalon mbrojtja.

HTTPS vazhdon përtej atij pike, prandaj një faqe mund të jetë e sigurt në një rrjet armiqësor edhe pa VPN. Dy mbrojtjet mbivendosen në segmentin e parë dhe vetëm njëra vazhdon pas daljes.

Prandaj dobësimi i verifikimit të certifikatës për të bërë një lidhje të funksionojë nuk është provë e tunelit. Ai çaktivizon një mbrojtje tjetër dhe ju lë me më pak sesa kishit në fillim.

Pse anonimiteti është produkt tjetër

Adresat, koha dhe vëllimi mbeten të vëzhgueshme jashtë tunelit. Një vëzhgues mund të shohë se trafiku rrjedh drejt një skaji VPN, përafërsisht sa dhe kur. Përmbajtja mund të jetë e palexueshme ndërsa modeli ende jep informacion.

Ofruesi gjithashtu ndodhet diku tjetër nga rrjeti juaj, gjë që është ndryshim vëzhguesi dhe jo heqje e vëzhgimit. Cookies, hyrjet dhe identifikuesit e llogarisë vazhdojnë të punojnë njësoj si më parë, sepse tuneli nuk premtoi kurrë t'i ndryshojë ato.

Zgjidhni një ofrues sipas politikës së regjistrimit dhe juridiksionit nëse ky është kushti, dhe më pas lexoni vetë politikën. Faqet e marketingut rrallë i përgjigjen asaj pyetjeje në një mënyrë që dikush mund ta verifikojë.

Kontrolloni tunelin dhe faqen veçmas

Verifikoni fillimisht tunelin, që të dini cilën mbrojtje po testoni. Më pas verifikoni transportin e vetë faqes dhe krahasoni dy rezultatet në vend që të supozoni se njëra nënkupton tjetrën. Një tunel që mbart HTTP të thjeshtë dhe një faqe që shërben HTTPS bëjnë pikërisht atë për të cilën janë konfiguruar.

Kryeni kontrollet ndaj një hosti që ju lejohet të testoni, dhe lexoni daljen, jo përmbledhjen.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

Kur tuneli është aktiv dhe faqja është HTTPS, keni dy mbrojtje në segmentin e parë dhe një në të dytin. Kur faqja është HTTP i thjeshtë, segmenti i dytë është i lexueshëm nga kushdo që ndodhet atje, përfshirë daljen që përçoi kërkesën. Të dish se cila nga të dyja mungon është i gjithë diagnozi, dhe kërkon dy komanda në vend të një klienti të ri.