Шта тунел шифрује, а шта оставља читљивим

Ваш тунел ради, једна картица показује зелени катанац, а обична HTTP страница у другој картици и даље упозорава да веза није безбедна. Та комбинација збуњује људе јер две заштите покривају различите удаљености. VPN штити саобраћај између сопствених крајњих тачака, а после излаза саобраћај поново постаје обичан. HTTPS штити једну везу све до веб-сајта. Стављање ове две чињенице једну поред друге објашњава већину питања о томе шта VPN заправо крије.

Шта тунел заправо покрива

Између клијента и VPN партнера посматрач види шифроване бајтове, а не читљив захтев. То покрива деоницу коју тунел прелази, а то је обично део који не контролишете. Не протеже се на везу између VPN излаза и веб-сајта, јер је тунел завршен на излазу. Бајтови су поново читљиви од тренутка када тунел престане. Ништа у томе није погрешна конфигурација.

Излаз је машина која дешифрује и прослеђује, а управо томе VPN служи. Све што проследи видљиво му је у облику у којем је примљено, па обичан HTTP захтев остаје обичан текст од излаза надаље.

Читајте то као својство, а не као недостатак. Шифровање је ограничено на путању, а путања се завршава тамо где услуга почиње.

Кључеви, nonce и интегритет једноставним речима

Текући саобраћај заштићен је симетричном криптографијом, а оба краја изводе или добијају кључни материјал током руковања. Аутентификовано шифровање, описано опште у RFC 5116, даје поверљивост и интегритет у једној конструкцији. Прималац одбија измењене бајтове уместо да их само не успе да прочита, и то је део који људи забораве кад мисле да шифровање значи измешати.

Кључеви долазе из те размене, а не из лозинке унете при пријави. Лозинка аутентификује идентитет, а протокол затим успоставља сесијски материјал. Ефемерна размена кључева даје тајност унапред, па снимљена сесија остаје нечитљива чак и ако касније исцури дугорочни кључ.

Велики број у спецификацији не одговара ни на једно од тих питања, а поређење бројева између неповезаних алгоритама није рангирање. Питајте уместо тога шта размена кључева пружа.

Где тунел завршава

Крајња тачка која завршава тунел може да чита оно што прослеђује. То важи једнако за корпоративни пролаз, комерцијалног провајдера и сопствени сервер. То је дизајн, а не недостатак у њему. Јака криптографија не може да спречи компромитовану крајњу тачку да чита обичан текст који до ње долази, јер се заштита зауставља управо на крајњој тачки.

HTTPS се наставља након те тачке, зато сајт може бити безбедан на непријатељској мрежи и без VPN-а. Две заштите се преклапају на првој деоници и само једна наставља после излаза.

Зато слабљење провере сертификата да би веза прорадила није тест тунела. Оно искључује другу заштиту и оставља вас са мање него што сте имали на почетку.

Зашто је анонимност други производ

Адресе, време и обим остају видљиви изван тунела. Посматрач може да види да саобраћај тече ка VPN крајњој тачки, отприлике колико и када. Садржај може бити нечитљив док образац још носи информацију.

Провајдер такође седи на другом месту од ваше мреже, што је промена посматрача, а не уклањање посматрања. Колачићи, пријаве и идентификатори налога раде исто као пре, јер тунел никада није обећао да ће их мењати.

Изаберите провајдера према његовој политици евидентирања и надлежности ако је то услов, а затим прочитајте саму политику. Маркетиншке странице ретко одговарају на то питање тако да било ко може да провери.

Проверите тунел и сајт одвојено

Прво проверите тунел, да бисте знали коју заштиту тестирате. Затим проверите сопствени пренос сајта и упоредите два резултата уместо да претпостављате да једно подразумева друго. Тунел који преноси обичан HTTP и сајт који служи HTTPS обоје раде тачно оно за шта су конфигурисани.

Извршите провере према хосту који вам је дозвољено да тестирате и читајте излаз, а не сажетак.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

Када је тунел активан и сајт је HTTPS, имате две заштите на првој деоници и једну на другој. Када је сајт обичан HTTP, друга деоница је читљива свима на њој, укључујући излаз који је проследио захтев. Знање која од две недостаје је цела дијагноза, а за то су потребне две наредбе, а не нови клијент.