VPN tüneli bittikten sonra HTTPS neden hâlâ önemli

Yeşil VPN göstergesi, mahremiyet hissi, sonra tarayıcı banka sitesinde bir sertifika uyarısı gösterir. O uyarıdaki hiçbir şey tünel sayesinde iyileşmez. VPN cihazınızdan kendi sunucusuna giden yolu korur; HTTPS ise tarayıcınızdan sitenin TLS uç noktasına giden isteği korur. Yolculuğun farklı bölümlerini kapsarlar ve biri diğerinin yerini almaz.

İki farklı ucu olan iki tünel

VPN tüneli VPN sunucusunda biter. Bu noktadan sonra trafiğiniz olağan internette hedefe doğru devam eder. VPN işletmecisi içeriği okuyamasa da bağlantı üst verisini görür.

HTTPS tarayıcınızda başlar ve sitenin TLS uç noktasında biter. Paketin sunucuya nasıl ulaştığı onu ilgilendirmez ve VPN'in varlığına bağlı değildir.

Bu yüzden iki koruma yarışmak yerine birbirini tamamlar. VPN isteği yerel ağdan ve internet sağlayıcınızdan kendi çıkışına kadar gizler. HTTPS ise onu o çıkıştan sonraki her gözlemciden, VPN sağlayıcısının kendisinden bile gizler. Hiçbiri diğerinin boşluğunu kapatmaz. Bunu anlayan kişi hangisinin yeterli olduğunu sormayı bırakır.

Sıradan bir HTTP formu çıkıştan sonra da sıradan kalır

HTTP üzerinden form kabul eden eski bir site VPN sunucusunun ötesinde korumasızdır. Tünel formu çıkışa kadar taşır, rotanın geri kalanı ise onu açıkta taşır.

Hassas her şey için gerçek HTTPS sürümünü veya başka bir resmi kanalı kullanın.

Bağlı göstergesi uygulamanın taşımasını değiştirmez. Tarayıcının yalnızca HTTPS modu istemsiz bir geri düşüşü önlemeye yardımcı olabilir, ancak hiç TLS sunmamış bir siteyi düzeltemez.

Sertifika uyarısını VPN iyileştirmez

Yanlış ana makine adı, süresi geçmiş sertifika, eğri cihaz saati veya araya girme doğrulama hatasına yol açabilir. VPN bunların hiçbirini zararsız hale getirmez.

Her şeyden önce tam adresi ve sistem saatini kontrol edin.

Bir ağ oturum açma sayfası söz konusuysa platformun olağan captive portal akışını kullanın. Otel ağı istedi diye ilgisiz bir hesap sitesine kalıcı istisna tanımayın.

Yönetilen bir cihazda denetim sertifikası kurulu mu diye sorun. Bu olağan güven düzenini değiştirir ve omuz silkmek yerine somut bir açıklamayı hak eder. Sertifikanın amacını ve kime ait olduğunu sorun.

Şifreleme izlemeyi durdurmaz

Oturum çerezleri, oturum açmaları ve form verilerini siteye tam olarak amaçlandığı gibi taşır. Bir izleyici şifreli bağlantıya da binebilir ve çoğu biner.

VPN rotayı ve görünen çıkış adresini değiştirir. Bir hesap üzerinden verdiğiniz kimliği değiştirmez ve siteler arasında sizi izleyen çerezi silmez.

Zaten kullandığınız tarayıcı korumalarını koruyun. VPN bunlara eklemedir, yerine geçmez.

Adresi kontrol edin, göstergeyi değil

Adres çubuğundaki ana makine adını ve sitenin sunduğu sertifikayı doğrulayın. Kilit, bağlantının bir uç noktaya kadar şifrelendiği anlamına gelir; bu, o uç noktanın amaçladığınız nokta olduğu anlamına gelmez.

İki komut sertifikayı ve yönlendirme zincirini gösterir:

curl -sSI https://bank.example/ | head -5
openssl s_client -connect bank.example:443 -servername bank.example < /dev/null 2>/dev/null | openssl x509 -noout -subject -dates

Sertifika başka bir ana makine adı veriyorsa durun. Saat yanlışsa yeniden denemeden önce düzeltin. Bir yönlendirme sizi düz HTTP'ye gönderiyorsa bunu doğrulamayı kapatmak için değil, sitenin hatası olarak değerlendirin. Tarayıcı uyarısı vardır çünkü alternatif, parolanızı hangi uç noktanın aldığını tahmin etmektir.