VPN och Tor ersätter inte HTTPS: var varje lager slutar

En VPN och en Tor-krets krypterar båda din trafik under en del av resan. Båda slutar kryptera den hos en motpart de väljer själva. HTTPS är lagret som når själva webbplatsen, och ingen mängd tunnling framför det gör ett vanligt formulärutskick till ett skyddat. Att följa varje lager till den punkt där det slutar gör det uppenbart.

Tre lager, tre olika ändpunkter

En vanlig VPN avslutar sin tunnel på VPN-servern. Allt mellan din enhet och den servern ligger inuti tunneln, och allt efter den gör det inte. En Tor-krets beter sig på samma sätt med en annan motpart och lämnar nätet vid ett utgångsrelä som vidarebefordrar din begäran till målet.

TLS slutar på webbplatsen. Certifikatet du validerade binder ett värdnamn till en nyckel som webbplatsen kontrollerar, och sessionsnycklarna finns mellan din webbläsare och den servern. Den ändpunkten ligger bortom både VPN-servern och Tor-utgången.

De tre lagren har alltså tre olika förtroendegränser, och en begäran passerar alla i tur och ordning. Att stärka ett säger ingenting om de andra, och det sista är det enda som målet deltar i.

Vad det sista hoppet avslöjar

Om applikationen använder vanlig HTTP är innehållet bortom utgången läsbart för alla som driver det hoppet. Den tidigare tunneln gjorde sitt jobb perfekt och finns helt enkelt inte längre. Inloggningsuppgifter som skrivs i ett HTTP-formulär exponeras exakt vid den punkt där skyddet tog slut.

Med korrekt validerad HTTPS kan en mellanhand på vägen varken läsa eller tyst ändra applikationens innehåll. Den ser fortfarande att du anslöt, när och till vilken adress, eftersom paketens huvuden måste vara dirigerbara. Konfidentialitet för innehållet och metadata om anslutningen är olika egenskaper, och bara den första är vad TLS ger.

Kontoidentitet är återigen en tredje sak. Att logga in på ett konto identifierar dig för den tjänsten oavsett vilken utgångsadress du använde, så utgången skyddar nätverksvägen och inte kontot. Den skillnaden överlever hur många lager som helst framför. Att byta utgång ändrar aldrig vad en inloggad session avslöjar. Tjänsten visste vem du var innan det första paketet lämnade.

Ingenting i den här ordningen går sönder av att lägga till en andra tunnel. Det som ändras är vilken observatör som ser det första hoppet, inte om det sista hoppet är krypterat.

Ordningen ändrar observatörerna, inte ändpunkten

Att kedja en VPN och Tor är ett legitimt sätt att ändra vem som ser vad på nätverksnivå. Att köra Tor över en VPN döljer för ditt åtkomstnät att du använder Tor, medan att köra en VPN över Tor döljer din adress för VPN-leverantören. Båda ordningarna beskrivs i offentlig dokumentation och båda har avvägningar i prestanda och felbeteende.

Ingen av ordningarna flyttar TLS-ändpunkten. I båda fallen validerar webbläsaren fortfarande ett certifikat för det begärda värdnamnet, och i båda fallen skickar en HTTP-adress fortfarande sitt innehåll i klartext bortom det sista reläet. Sammansättningen ändrar observatörslistan; den ändrar inte antalet lager vid målet.

Därför handlar råd om kedjning oftast om hotmodeller och inte om säkerhet i allmänhet. En längre kedja är inte en starkare version av samma sak, och den ersätter inte protokollet som applikationen valde.

curl -sSI https://example.net | head -3
openssl s_client -connect example.net:443 -servername example.net -brief

Båda kommandona visar lagret som spelar roll vid målet. Det andra skriver ut det förhandlade protokollet utan att involvera någon tunnel. Ingen av dem berättar något om den utgång du använde.

Håll valideringen igång medan du felsöker

En certifikatvarning är information om anslutningen du är på väg att göra. Den kan betyda avvikelse i värdnamn, ett klockproblem, en ej betrodd kedja eller ett avlyssningsförsök. Att lägga till ett permanent undantag eftersom en VPN är ansluten tar bort den enda signal som hade skilt dessa fall.

Tor Browsers funktioner för säker anslutning och dess varningar finns av samma skäl, och att stänga av dem för att en sida ska laddas byter ett synligt misslyckande mot ett osynligt. Om en webbplats inte kan nås utan undantag är den ärliga slutsatsen att anslutningen inte går att verifiera, inte att tunneln gjorde den säker.

Kryptering säger inte heller något om avsikt. En giltig HTTPS-anslutning till en vilseledande webbplats levererar dina data till den webbplatsen med perfekt konfidentialitet. Kontrollera adressen och vad du skickar, inte bara om hänglåset finns.

Onion-tjänster är en verkligen annan modell. De nås via Tor-nätverket utan en vanlig offentlig utgång, vilket inte är samma sak som att nå en offentlig webbplats via Tor. Behandla det som ett eget fall med egna förväntningar, inte som en starkare version av samma besök.

Regeln som överlever varje konfiguration är kort. Håll webbläsarens validering intakt. Bedöm varje lager efter var det faktiskt slutar.