ทำไม HTTPS ยังสำคัญแม้หลังอุโมงค์ VPN สิ้นสุด

สัญลักษณ์ VPN สีเขียว ความรู้สึกเป็นส่วนตัว แล้วเบราว์เซอร์ก็ขึ้นคำเตือนใบรับรองบนเว็บไซต์ธนาคาร ไม่มีอะไรในคำเตือนนั้นดีขึ้นเพราะอุโมงค์ VPN ปกป้องเส้นทางจากอุปกรณ์ของคุณถึงเซิร์ฟเวอร์ของมันเอง ส่วน HTTPS ปกป้องคำขอจากเบราว์เซอร์ของคุณถึงปลายทาง TLS ของเว็บไซต์ ทั้งสองครอบคลุมคนละช่วงของการเดินทาง และอันหนึ่งไม่ได้แทนที่อีกอัน

สองอุโมงค์ที่มีสองปลายต่างกัน

อุโมงค์ VPN สิ้นสุดที่เซิร์ฟเวอร์ VPN หลังจากจุดนั้น การรับส่งของคุณดำเนินต่อบนอินเทอร์เน็ตธรรมดาไปยังปลายทาง ผู้ให้บริการ VPN เห็นข้อมูลเมตาของการเชื่อมต่อแม้อ่านเนื้อหาไม่ได้

HTTPS เริ่มที่เบราว์เซอร์ของคุณและสิ้นสุดที่ปลายทาง TLS ของเว็บไซต์ ไม่สนใจว่าแพ็กเก็ตไปถึงเซิร์ฟเวอร์อย่างไร และไม่ขึ้นกับการมีอยู่ของ VPN

นั่นคือเหตุผลที่การป้องกันทั้งสองเสริมกันแทนที่จะแข่งขันกัน VPN ซ่อนคำขอจากเครือข่ายท้องถิ่นและจาก ISP ของคุณจนถึงทางออกของมัน HTTPS ซ่อนคำขอนั้นจากผู้สังเกตทุกคนหลังจากทางออกนั้น รวมถึงจากผู้ให้บริการ VPN เอง ไม่มีอันใดครอบคลุมช่องว่างของอีกอัน คนที่เข้าใจเรื่องนี้จะเลิกถามว่าอันไหนเพียงพอ

แบบฟอร์ม HTTP ธรรมดายังคงธรรมดาหลังทางออก

เว็บไซต์เก่าที่รับแบบฟอร์มผ่าน HTTP ไม่ได้รับการปกป้องเลยหลังเซิร์ฟเวอร์ VPN อุโมงค์พาแบบฟอร์มไปถึงทางออก และเส้นทางที่เหลือพามันไปอย่างเปิดเผย

ใช้เวอร์ชัน HTTPS ที่แท้จริงหรือช่องทางราชการอื่นสำหรับทุกสิ่งที่อ่อนไหว

สัญลักษณ์เชื่อมต่อไม่เปลี่ยนการรับส่งของแอปพลิเคชัน โหมด HTTPS เท่านั้นของเบราว์เซอร์ช่วยป้องกันการถอยกลับโดยไม่ตั้งใจได้ แต่ซ่อมเว็บไซต์ที่ไม่เคยให้ TLS ไม่ได้

คำเตือนใบรับรองไม่ได้รับการรักษาโดย VPN

ชื่อโฮสต์ผิด ใบรับรองหมดอายุ นาฬิกาอุปกรณ์เบี้ยว หรือการดักฟัง ล้วนทำให้การตรวจสอบล้มเหลวได้ VPN ไม่ได้ทำให้สิ่งใดในนั้นปลอดภัย

ตรวจที่อยู่ให้แน่ชัดและนาฬิกาของระบบก่อนสิ่งอื่นใด

หากมีหน้าเข้าสู่ระบบของเครือข่าย ให้ใช้ขั้นตอนพอร์ทัลจับของแพลตฟอร์มตามปกติ อย่าให้ข้อยกเว้นถาวรกับเว็บไซต์บัญชีที่ไม่เกี่ยวข้องเพียงเพราะเครือข่ายโรงแรมขอ

บนอุปกรณ์ที่ถูกจัดการ ให้ถามว่ามีการติดตั้งใบรับรองสำหรับตรวจสอบหรือไม่ สิ่งนั้นเปลี่ยนข้อตกลงความเชื่อถือตามปกติ และสมควรได้คำอธิบายที่ชัดเจนแทนการยักไหล่ ถามถึงวัตถุประสงค์ของใบรับรองและใครเป็นเจ้าของ

การเข้ารหัสไม่หยุดการติดตาม

เซสชันพาคุกกี้ การเข้าสู่ระบบ และข้อมูลแบบฟอร์มไปยังเว็บไซต์ตามที่ตั้งใจไว้ ตัวติดตามก็โดยสารการเชื่อมต่อที่เข้ารหัสได้เช่นกัน และส่วนใหญ่ก็ทำ

VPN เปลี่ยนเส้นทางและที่อยู่ทางออกที่มองเห็น มันไม่เปลี่ยนตัวตนที่คุณให้ผ่านบัญชี และไม่ลบคุกกี้ที่ตามคุณระหว่างเว็บไซต์

เก็บการป้องกันของเบราว์เซอร์ที่คุณใช้อยู่ไว้ VPN เป็นส่วนเพิ่ม ไม่ใช่สิ่งแทน

ตรวจที่อยู่ ไม่ใช่สัญลักษณ์

ตรวจสอบชื่อโฮสต์ในแถบที่อยู่และใบรับรองที่เว็บไซต์นำเสนอ แม่กุญแจหมายถึงการเชื่อมต่อถูกเข้ารหัสถึงปลายทางใดปลายทางหนึ่ง ไม่ได้หมายความว่าปลายทางนั้นคือปลายทางที่คุณตั้งใจ

สองคำสั่งแสดงใบรับรองและห่วงโซ่การเปลี่ยนเส้นทาง

curl -sSI https://bank.example/ | head -5
openssl s_client -connect bank.example:443 -servername bank.example < /dev/null 2>/dev/null | openssl x509 -noout -subject -dates

ถ้าใบรับรองระบุโฮสต์อื่น ให้หยุด ถ้านาฬิกาผิด ให้แก้ก่อนลองใหม่ ถ้าการเปลี่ยนเส้นทางพาคุณไปยัง HTTP ธรรมดา ให้ถือว่าเป็นความล้มเหลวของเว็บไซต์ ไม่ใช่เหตุผลที่จะปิดการตรวจสอบ คำเตือนของเบราว์เซอร์มีอยู่เพราะทางเลือกอื่นคือการเดาว่าปลายทางใดได้รับรหัสผ่านของคุณ