VPN ve Tor, HTTPS'in yerini almaz: her katman nerede biter

VPN ve Tor devresi, yolculuğun bir bölümünde trafiğinizi şifreler. İkisi de kendi seçtikleri eşte şifrelemeyi bırakır. HTTPS, sitenin kendisine ulaşan katmandır ve önündeki hiçbir tünel miktarı düz bir form gönderimini korunan bir gönderime çevirmez. Her katmanı bittiği noktaya kadar izlemek bunu açık hale getirir.

Üç katman, üç farklı uç nokta

Geleneksel bir VPN tünelini VPN sunucusunda sonlandırır. Cihazınızla o sunucu arasındaki her şey tünelin içindedir, sonrasındaki her şey değildir. Bir Tor devresi başka bir eşle aynı şekilde davranır ve ağdan bir çıkış aktarıcısında ayrılarak isteğinizi hedefe iletir.

TLS sitede sonlanır. Doğruladığınız sertifika bir ana makine adını sitenin denetlediği bir anahtara bağlar ve oturum anahtarları tarayıcınızla o sunucu arasında bulunur. Bu uç nokta hem VPN sunucusunun hem de Tor çıkışının ötesindedir.

Yani üç katmanın üç farklı güven sınırı vardır ve bir istek sırayla hepsinden geçer. Birini güçlendirmek diğerleri hakkında hiçbir şey söylemez ve sonuncusu hedefin katıldığı tek katmandır.

Son atlama neyi açığa çıkarır

Uygulama düz HTTP kullanıyorsa çıkışın ötesindeki içerik o atlamayı işleten herkes tarafından okunabilir. Önceki tünel işini kusursuz yaptı ve artık orada değil. HTTP formuna yazılan kimlik bilgileri tam olarak korumanın bittiği noktada açığa çıkar.

Doğru doğrulanmış HTTPS ile yoldaki bir aracı, uygulamanın içeriğini okuyamaz veya sessizce değiştiremez. Paket başlıkları yönlendirilebilir olmak zorunda olduğu için hâlâ ne zaman hangi adrese bağlandığınızı görür. İçeriğin gizliliği ile bağlantıya ilişkin üst veriler farklı özelliklerdir ve yalnızca ilkini TLS sağlar.

Hesap kimliği yine üçüncü bir şeydir. Bir hesaba giriş yapmak sizi o hizmete tanıtır hangi çıkış adresini kullandığınızdan bağımsız olarak, bu yüzden çıkış hesabı değil ağ yolunu korur. Bu ayrım önünde kaç katman olursa olsun sürer. Çıkışları değiştirmek, giriş yapılmış bir oturumun neyi açığa çıkardığını asla değiştirmez. Hizmet ilk paket ayrılmadan önce kim olduğunuzu biliyordu.

Bu düzenlemede ikinci bir tünel eklemek hiçbir şeyi bozmaz. Değişen, hangi gözlemcinin ilk atlamayı gördüğüdür; son atlamanın şifreli olup olmadığı değil.

Sıra, gözlemcileri değiştirir, uç noktayı değil

VPN ile Tor'u zincirlemek, ağ düzeyinde kimin neyi gördüğünü değiştirmenin meşru bir yoludur. Tor'u VPN üzerinden çalıştırmak, Tor kullandığınız gerçeğini erişim ağınızdan saklar; VPN'i Tor üzerinden çalıştırmak ise adresinizi VPN sağlayıcısından saklar. Her iki sıra da kamuya açık belgelerde anlatılmıştır ve her ikisinin de başarım ile hata davranışında ödünleri vardır.

İki sıranın hiçbiri TLS uç noktasını kaydırmaz. Her iki durumda da tarayıcı istediği ana makine adı için sertifikayı doğrular ve her iki durumda da bir HTTP adresi içeriğini son aktarıcının ötesinde açık olarak göndermeye devam eder. Birleşim gözlemci listesini değiştirir; hedefteki katman sayısını değiştirmez.

Bu yüzden zincirleme konusundaki öğütler genellikle genel güvenlik değil tehdit modelleriyle ilgilidir. Daha uzun bir zincir aynı şeyin daha güçlü bir sürümü değildir ve uygulamanın seçtiği protokolün yerini tutmaz.

curl -sSI https://example.net | head -3
openssl s_client -connect example.net:443 -servername example.net -brief

Her iki komut da hedefte önemli olan katmanı gösterir. İkincisi hiçbir tüneli işe katmadan anlaşılan protokolü yazdırır. Hiçbiri kullandığınız çıkış hakkında size bir şey söylemez.

Sorun ararken doğrulamayı çalışır tutun

Bir sertifika uyarısı, kurmak üzere olduğunuz bağlantı hakkında bilgidir. Ana makine adı uyuşmazlığı, saat sorunu, güvenilmeyen zincir veya bir araya girme girişimi anlamına gelebilir. VPN bağlı olduğu için kalıcı bir istisna eklemek, o durumları ayırt edecek tek sinyali ortadan kaldırır.

Tor Browser'ın güvenli bağlantı özellikleri ve uyarıları aynı nedenle vardır ve bir sayfanın yüklenmesi için bunları devre dışı bırakmak görünür bir hatayı görünmez biriyle değiştirir. Bir siteye istisna olmadan ulaşılamıyorsa dürüst sonuç, tünelin onu güvenli yaptığı değil, bağlantının doğrulanamadığıdır.

Şifreleme de niyet hakkında bir şey söylemez. Aldatıcı bir siteye geçerli bir HTTPS bağlantısı, verilerinizi tam bir gizlilikle o siteye ulaştırır. Yalnızca kilit var mı diye değil, adresi ve ne gönderdiğinizi denetleyin.

Onion hizmetleri gerçekten farklı bir modeldir. Onlara olağan bir genel çıkış olmadan Tor ağı üzerinden ulaşılır; bu, Tor aracılığıyla genel bir siteye erişmekle aynı şey değildir. Bunu aynı ziyaretin daha güçlü bir sürümü değil, kendi beklentileri olan ayrı bir durum olarak ele alın.

Her yapılandırmadan sağ çıkan kural kısadır. Tarayıcı doğrulamasını bozulmadan tutun. Her katmanı gerçekte nerede bittiğine göre değerlendirin.