Akiba nyuma ya VPN: HTTPS bado inaficha nini

Akiba kando ya seva ya VPN inasikika kama bandwidth ya bure kwa wote walio nyuma ya handaki. Si hivyo, kwa sababu baiti zinazopita mahali hapo zinabaki zikilindwa na kipindi cha TLS ambacho ncha zake ni kivinjari na tovuti. Lango la VPN huondoa usimbaji wake wa nje tu, si ule wa programu. Amua ni kitu gani kinachojirudia unachotaka kutumia tena kabla ya kuongeza maunzi.

Kipindi cha TLS ni cha kivinjari

Katika HTTPS ya kawaida kivinjari hujadili funguo na tovuti, na kila rekodi baada ya kupeana mkono husimbwa kwa jozi hiyo ya ncha. Lango la VPN husimbua handaki lililounda kisha hupeleka rekodi za TLS zisizo wazi. Linaweza kuona maeneo, muda na kiasi, si mstari wa ombi au mwili wa jibu. Huo ndio mpaka ambao akiba yoyote inapaswa kuishi nao.

Muundo wowote unaouvunja ni muundo wa kuingilia TLS, na matokeo yake mwenyewe kuhusu imani ya vyeti na usimamizi wa vifaa.

CONNECT ni handaki, si akiba

Proksi ya mbele iliyo wazi kwa kawaida hupokea ombi la HTTP CONNECT kisha hupeleka baiti pande zote mbili. Upelekaji ndio neno muhimu: proksi haichambui mazungumzo yaliyosimbwa.

curl -sSI -x http://proxy.example:3128 https://example.com/

Vichwa vya jibu hutoka kwa utunzaji wa proksi wa handaki, si kwa nakala ya ukurasa iliyohifadhiwa. CONNECT iliyofanikiwa inamaanisha njia inafanya kazi, si kwamba kitu kilihifadhiwa kwa matumizi tena. Kuelekeza lango 443 kwenye akiba pia hakulifundishi kuzungumza TLS, kwa sababu uhifadhi unahitaji ujumbe unaosomeka. Usanidi wa mteja lazima utumie mpangilio wazi wa proksi unaoungwa mkono, si uelekezaji usioelezwa.

Hifadhi unachokiendesha, si unachovinjari

Ambapo maudhui ni yako, proksi ya nyuma inaweza kumaliza TLS na kuhifadhi majibu yaliyoidhinishwa kwa makusudi. Ambapo ni ya hazina ya vifurushi, tumia kioo kinachoungwa mkono na mradi.

nginx -T | grep -n "proxy_cache"
curl -sSI https://mirror.example/pkg/index.json | grep -i -E "cache-control|age"

Amri ya kwanza inaonyesha kama eneo la akiba limewekwa na linatumika wapi, na ya pili inaonyesha maagizo ya uhifadhi ya asili kwa kitu kimoja. Akiba inayoshirikiwa lazima iheshimu ubichi, vidhibiti vya akiba na sifa za ombi zinazotofautisha uwakilishi; private na no-store zinamaanisha mambo tofauti na hakuna hata moja inayopaswa kuondolewa ili kuongeza kiwango cha mipigo. Sheria za uhifadhi za HTTP pia huzuia kuhifadhi majibu kwa maombi yaliyothibitishwa, na hapo ndipo ukurasa wa kibinafsi unakuwa ufichuzi wa data. Weka proksi iwe kwa wateja waliidhinishwa badala ya kuweka wazi relay iliyo wazi.

Pima mpigo, si saa ya kusimamisha

Ombi la pili la haraka hathibitishi kuwa akiba mpya ilifanya kitu, kwa sababu vivinjari na mifumo ya uendeshaji huhifadhi kwa ukali wenyewe. Omba proksi kaunta za mipigo na kukosa na uangalie trafiki ya asili wakati wa kurudia kwa udhibiti. Tumia upakuaji mmoja unaorudiwa wa kitu kinachojulikana, kwanza akiba ikiwa imewashwa kisha ikipitwa, na linganisha baiti zilizotolewa na asili badala ya muda uliopita. Kisha angalia mpaka wa idhini: rasilimali inayohitaji kuingia haipaswi kupewa mteja mwingine.

Rekodi mzigo, ufunguo wa akiba na sera iliyoruhusu matumizi tena. Akiba ni uamuzi wa kushiriki data uliovaa vazi la uboreshaji.