Hindi pinapalitan ng VPN at Tor ang HTTPS: saan nagtatapos ang bawat layer

Parehong ine-encrypt ng VPN at ng circuit ng Tor ang iyong trapiko sa bahagi ng paglalakbay. Pareho silang tumitigil sa pag-encrypt sa kaparehang sila mismo ang pumipili. Ang HTTPS ang layer na umaabot sa site mismo, at walang dami ng tunneling sa harap nito ang gumagawa sa pagpapasa ng plain form na maging protektado. Ang pagsunod sa bawat layer hanggang sa puntong nagtatapos ito ay nagpapalinaw niyon.

Tatlong layer, tatlong magkaibang dulo

Ang karaniwang VPN ay nagtatapos ng tunnel nito sa VPN server. Ang lahat ng nasa pagitan ng iyong device at ng server na iyon ay nasa loob ng tunnel, at ang lahat ng sumusunod ay wala. Ang circuit ng Tor ay ganoon din ang kilos sa ibang kapareha, umaalis sa network sa exit relay na nagpapasa ng iyong kahilingan sa destinasyon.

Nagtatapos ang TLS sa site. Ang certificate na na-validate mo ay nagbibigkis ng hostname sa isang key na kontrolado ng site, at ang mga session key ay nasa pagitan ng iyong browser at ng server na iyon. Ang dulong iyon ay lampas sa VPN server at sa exit ng Tor.

Kaya ang tatlong layer ay may tatlong magkaibang hangganan ng tiwala, at ang isang kahilingan ay dumadaan sa lahat nang sunud-sunod. Ang pagpapalakas ng isa ay walang sinasabi tungkol sa iba, at ang huli ang tanging pinaglalahukan ng destinasyon.

Ano ang inilalantad ng huling paglukso

Kung gumagamit ang application ng plain HTTP, ang nilalaman sa kabila ng exit ay nababasa ng sinumang nagpapatakbo ng pagluksong iyon. Perpektong ginawa ng dating tunnel ang trabaho nito at wala na lamang ito. Ang mga credential na tina-type sa HTTP form ay nalalantad mismo sa puntong natapos ang proteksyon.

Sa wastong na-validate na HTTPS, hindi mababasa o tahimik na mababago ng isang tagapamagitan sa landas ang nilalaman ng application. Nakikita pa rin nito na kumonekta ka, kailan at sa aling address, dahil ang mga header ng packet ay dapat na maruruta. Magkaibang katangian ang pagiging pribado ng nilalaman at ang metadata tungkol sa koneksyon, at ang una lamang ang ibinibigay ng TLS.

Ang pagkakakilanlan ng account ay ikatlong bagay na naman. Ang pag-log in sa isang account ay nagpapakilala sa iyo sa serbisyong iyon anuman ang exit address na ginamit mo, kaya pinoprotektahan ng exit ang landas ng network at hindi ang account. Nananatili ang pagkakaibang iyon sa anumang bilang ng layer sa harap nito. Ang pagpapalit ng exit ay hindi kailanman nagbabago sa inilalantad ng naka-log in na session. Alam na ng serbisyo kung sino ka bago pa umalis ang unang packet.

Wala sa kaayusang ito ang nasisira sa pagdaragdag ng pangalawang tunnel. Ang nagbabago ay kung aling tagamasid ang nakakakita ng unang paglukso, hindi kung naka-encrypt ang huling paglukso.

Binabago ng pagkakasunod-sunod ang mga tagamasid, hindi ang dulo

Ang pagkakabit ng VPN at Tor sa isang kadena ay isang lehitimong paraan upang baguhin kung sino ang nakakakita ng ano sa antas ng network. Ang pagpapatakbo ng Tor sa ibabaw ng VPN ay nagtatago sa iyong access network ng katotohanang gumagamit ka ng Tor, samantalang ang pagpapatakbo ng VPN sa ibabaw ng Tor ay nagtatago ng iyong address sa provider ng VPN. Ang dalawang pagkakasunod-sunod ay inilarawan sa pampublikong dokumentasyon at parehong may mga kompromiso sa performance at pag-uugali kapag may failure.

Wala sa dalawang pagkakasunod-sunod ang gumagalaw sa dulong TLS. Sa dalawang kaso, nagva-validate pa rin ang browser ng certificate para sa hinihinging hostname, at sa dalawang kaso, nagpapadala pa rin ang HTTP address ng nilalaman nito nang hayagan lampas sa huling relay. Binabago ng komposisyon ang listahan ng mga tagamasid; hindi nito binabago ang bilang ng layer sa destinasyon.

Kaya ang payo tungkol sa pagkakabit ay karaniwang tungkol sa mga modelo ng banta at hindi sa pangkalahatang kaligtasan. Ang mas mahabang kadena ay hindi mas malakas na bersyon ng parehong bagay, at hindi ito kapalit ng protocol na pinili ng application.

curl -sSI https://example.net | head -3
openssl s_client -connect example.net:443 -servername example.net -brief

Ipinapakita ng dalawang utos ang layer na mahalaga sa destinasyon. Ang pangalawa ay nagpi-print ng napagkasunduang protocol nang walang kasangkot na tunnel. Wala sa kanila ang nagsasabi sa iyo ng anuman tungkol sa exit na ginamit mo.

Panatilihing gumagana ang validation habang nag-di-diagnose

Ang babala ng certificate ay impormasyon tungkol sa koneksyong gagawin mo. Maaaring ibig sabihin nito ang hindi pagtutugma ng hostname, problema sa orasan, hindi pinagkakatiwalaang kadena, o pagtatangkang harangin. Ang pagdaragdag ng permanenteng exception dahil may nakakabit na VPN ay nag-aalis ng tanging senyales na magpapakita ng pagkakaiba ng mga kasong iyon.

Ang mga feature ng secure na koneksyon ng Tor Browser at ang mga babala nito ay mayroon sa parehong dahilan, at ang pagpapahinto sa mga ito upang mag-load ang isang pahina ay nagpapalit ng nakikitang failure sa hindi nakikita. Kung hindi marating ang isang site kung walang exception, ang tapat na konklusyon ay hindi ma-verify ang koneksyon, hindi na ginawa itong ligtas ng tunnel.

Wala ring sinasabi ang encryption tungkol sa intensyon. Ang valid na HTTPS na koneksyon sa isang mapanlinlang na site ay naghahatid ng iyong data sa site na iyon na may perpektong pagiging pribado. Suriin ang address at ang isinusumite mo, hindi lamang kung may kandado.

Ang mga serbisyo ng Onion ay tunay na ibang modelo. Nararating ang mga ito sa pamamagitan ng network ng Tor nang walang ordinaryong pampublikong exit, na hindi katulad ng pag-access sa pampublikong site sa pamamagitan ng Tor. Ituring ito na hiwalay na kaso na may sariling mga inaasahan, hindi bilang mas malakas na bersyon ng parehong pagbisita.

Ang tuntuning nananatili sa anumang configuration ay maikli. Panatilihing buo ang validation ng browser. Hukom ang bawat layer sa kung saan talaga ito nagtatapos.