Varför HTTPS fortfarande spelar roll när VPN-tunneln tar slut

Grön VPN-indikator, känsla av privatliv, och sedan visar webbläsaren en certifikatvarning på bankens webbplats. Inget i den varningen blir bättre av tunneln. En VPN skyddar vägen från din enhet till sin egen server; HTTPS skyddar begäran från din webbläsare till webbplatsens TLS-slutpunkt. De täcker olika delar av resan, och den ena ersätter inte den andra.

Två tunnlar med två olika ändar

VPN-tunneln slutar vid VPN-servern. Bortom den punkten fortsätter trafiken på det vanliga internet mot destinationen. VPN-operatören ser anslutningens metadata även om den inte kan läsa innehållet.

HTTPS börjar i din webbläsare och slutar vid webbplatsens TLS-slutpunkt. Det bryr sig inte om hur paketet nådde servern, och det beror inte på att VPN finns.

Därför kompletterar de två skydden varandra i stället för att konkurrera. VPN döljer begäran för det lokala nätet och för din internetleverantör fram till sin utgång. HTTPS döljer den för varje observatör efter den utgången, även för VPN-leverantören själv. Ingen av dem täcker den andras lucka. Den som förstår detta slutar fråga vilken som räcker.

Ett vanligt HTTP-formulär förblir vanligt efter utgången

En äldre webbplats som tar emot ett formulär över HTTP är oskyddad bortom VPN-servern. Tunneln bär formuläret till utgången, och resten av rutten bär det öppet.

Använd den äkta HTTPS-versionen eller en annan officiell kanal för allt känsligt.

En ansluten indikator ändrar inte applikationens transport. Webbläsarens läge för endast HTTPS kan hjälpa till att förhindra ett oavsiktligt fall tillbaka, men det kan inte laga en webbplats som aldrig erbjöd TLS.

En certifikatvarning botas inte av en VPN

Ett felaktigt värdnamn, ett utgånget certifikat, en skev enhetsklocka eller avlyssning kan alla orsaka ett valideringsfel. VPN gör inget av dem ofarligt.

Kontrollera den exakta adressen och systemklockan före allt annat.

Om en inloggningssida för nätverket är inblandad, använd plattformens vanliga captive portal-flöde. Ge inte ett permanent undantag till en orelaterad kontowebbplats för att ett hotellnät bad dig om det.

På en hanterad enhet, fråga om ett inspektionscertifikat är installerat. Det ändrar det vanliga förtroendearrangemanget och förtjänar en konkret förklaring i stället för en axelryckning. Fråga vad certifikatet är till för och vem som äger det.

Kryptering stoppar inte spårning

Sessionen bär kakor, inloggningar och formulärdata till webbplatsen precis som avsett. En spårare kan också åka med på en krypterad anslutning, och de flesta gör det.

En VPN ändrar rutten och den synliga utgångsadressen. Den ändrar inte identiteten du anger via ett konto, och den raderar inte kakan som följer dig mellan webbplatser.

Behåll de webbläsarskydd du redan använder. VPN är ett tillägg till dem, inte en ersättning.

Kontrollera adressen, inte indikatorn

Verifiera värdnamnet i adressfältet och certifikatet som webbplatsen presenterar. Hänglåset betyder att anslutningen är krypterad till någon slutpunkt; det betyder inte att den slutpunkten är den du avsåg.

Två kommandon visar certifikatet och omdirigeringskedjan:

curl -sSI https://bank.example/ | head -5
openssl s_client -connect bank.example:443 -servername bank.example < /dev/null 2>/dev/null | openssl x509 -noout -subject -dates

Om certifikatet anger en annan värd, stanna. Om klockan är fel, rätta den innan du försöker igen. Om en omdirigering skickar dig till vanlig HTTP, behandla det som ett fel på webbplatsen och inte som en anledning att stänga av valideringen. Webbläsarvarningen finns eftersom alternativet är att gissa vilken slutpunkt som fick ditt lösenord.