VPN и Tor не замењују HTTPS: где се завршава сваки слој
Тунел се завршава код свог партнера, а Tor круг код излазног релеја. Само HTTPS стиже до саме странице, зато обичан образац остаје читљив.
VPN и Tor круг обоје шифрирају ваш саобраћај на делу пута. Обоје престају да га шифрирају код партнера који сами одаберу. HTTPS је слој који стиже до саме странице, и никаква количина тунелирања испред њега не претвара обично слање обрасца у заштићено. Праћење сваког слоја до тачке где се завршава чини то очигледним.
Три слоја, три различите крајње тачке
Уобичајен VPN завршава свој тунел на VPN серверу. Све између вашег уређаја и тог сервера налази се унутар тунела, а све после њега није. Tor круг понаша се исто са другим партнером, напуштајући мрежу на излазном релеју који прослеђује ваш захтев одредишту.
TLS се завршава на страници. Сертификат који сте проверили везује име хоста за кључ који страница контролише, а сесијски кључеви постоје између вашег прегледача и тог сервера. Та крајња тачка налази се иза и VPN сервера и Tor излаза.
Дакле три слоја имају три различите границе поверења, а захтев пролази кроз све њих редом. Јачање једнога не говори ништа о осталима, а последњи је једини у којем учествује одредиште.
Шта открива последњи скок
Ако апликација користи обичан HTTP, садржај иза излаза може да чита свако ко управља тим скоком. Ранији тунел је свој посао обавио савршено и једноставно га више нема. Подаци за пријаву уписани у HTTP образац изложени су тачно у тачки где се заштита завршила.
| Layer | Terminates at | Who can read the request there |
|---|---|---|
| VPN tunnel | The VPN server you selected | The operator of that server, and anyone who can compel them |
| Tor circuit | An exit relay chosen by the network | The exit relay operator, for traffic that is not otherwise protected |
| HTTPS | The website's own TLS endpoint | The site itself, and no intermediary on the path |
Уз исправно проверен HTTPS, посредник на путу не може да чита нити тихо мења садржај апликације. Он и даље види да сте се повезали, када и на коју адресу, јер заглавља пакета морају да буду усмеравана. Поверљивост садржаја и метаподаци о вези су различита својства, а само прво пружа TLS.
Идентитет налога је опет трећа ствар. Пријава на налог вас идентификује тој услузи без обзира на то коју сте излазну адресу користили, па излаз штити мрежни пут, а не налог. Та разлика надживљава било који број слојева испред себе. Мењање излаза никада не мења оно што открива пријављена сесија. Услуга је знала ко сте пре него што је први пакет отишао.
Ништа се у овом распореду не квари додавањем другог тунела. Мења се то који посматрач види први скок, а не да ли је последњи скок шифрован.
Редослед мења посматраче, не крајњу тачку
Ланчано повезивање VPN-а и Tor-а легитиман је начин да промените ко шта види на мрежном нивоу. Покретање Tor-а преко VPN-а скрива од ваше приступне мреже чињеницу да користите Tor, док покретање VPN-а преко Tor-а скрива вашу адресу од VPN пружаоца. Оба редоследа су описана у јавној документацији и оба имају компромисе у изведби и понашању при квару.
Ниједан редослед не помера TLS крајњу тачку. У оба случаја прегледач и даље проверава сертификат за затражено име хоста, и у оба случаја HTTP адреса и даље шаље свој садржај отворено иза последњег релеја. Састав мења списак посматрача; не мења број слојева на одредишту.
Зато се савети о ланчању обично тичу модела претњи, а не безбедности уопште. Дужи ланац није јача верзија исте ствари, и није замена за протокол који је апликација одабрала.
curl -sSI https://example.net | head -3
openssl s_client -connect example.net:443 -servername example.net -briefОбе наредбе показују слој који је важан на одредишту. Друга исписује договорени протокол без укључивања икаквог тунела. Ниједна вам не говори ништа о излазу који сте користили.
Одржите проверу радном док решавате проблеме
Упозорење о сертификату је информација о вези коју ћете успоставити. Може да значи неслагање имена хоста, проблем са сатом, неповерљив ланац или покушај пресретања. Додавање трајне изнимке зато што је VPN повезан уклања једини сигнал који би те случајеве разликовао.
Безбедносне функције везе у Tor Browser-у и његова упозорења постоје из истог разлога, а њихово искључивање да би се страница учитала мења видљив неуспех за невидљив. Ако се до странице не може без изнимке, поштен закључак је да веза није проверљива, а не да ју је тунел учинио безбедном.
Шифровање такође не говори ништа о намери. Исправна HTTPS веза са обмањујућом страницом доставља ваше податке тој страници уз савршену поверљивост. Проверите адресу и шта шаљете, не само да ли постоји катанац.
Onion услуге су заиста другачији модел. До њих се стиже кроз Tor мрежу без уобичајеног јавног излаза, што није исто као приступање јавној страници преко Tor-а. Третирајте то као одвојен случај са сопственим очекивањима, а не као јачу верзију исте посете.
Правило које преживљава сваку конфигурацију је кратко. Сачувајте проверу прегледача нетакнутом. Процените сваки слој по томе где заиста завршава.