Tünel neyi şifreler, neyi okunabilir bırakır

Tüneliniz açık, bir sekmede yeşil kilit görünüyor, başka bir sekmedeki sıradan HTTP sayfası ise hâlâ bağlantının güvenli olmadığı konusunda uyarıyor. Bu birleşim insanları şaşırtıyor çünkü iki koruma farklı mesafeleri kapsıyor. Bir VPN, trafiği kendi uç noktaları arasında korur ve çıkışın ötesinde trafik yeniden sıradanlaşır. HTTPS ise tek bir bağlantıyı siteye kadar korur. Bu iki gerçeği yan yana koymak, VPN'in gerçekte neyi sakladığına dair soruların çoğunu açıklar.

Tünel gerçekte neyi kapsar

İstemci ile VPN eşi arasında gözlemci, okunabilir bir istek yerine şifrelenmiş baytlar görür. Bu, tünelin geçtiği kesimi kapsar ve bu genellikle sizin denetlemediğiniz kısımdır. VPN çıkışı ile site arasındaki bağlantıya uzanmaz, çünkü tünel çıkışta sona ermiştir. Baytlar tünelin bittiği andan itibaren yeniden okunabilir hale gelir. Bunun hiçbir kısmı yanlış yapılandırma değildir.

Çıkış, şifreyi çözen ve ileten bir makinedir ve VPN tam olarak bunun içindir. İlettiği her şey, aldığı biçimde ona görünür, bu nedenle sıradan bir HTTP isteği çıkıştan itibaren düz metin olarak kalır.

Bunu kusur değil özellik olarak okuyun. Şifreleme bir yolla sınırlıdır ve yol, hizmetin başladığı yerde biter.

Anahtarlar, nonce'lar ve bütünlük sade bir dille

Sürmekte olan trafik simetrik kriptografiyle korunur ve iki taraf el sıkışma sırasında anahtar malzemesini türetir veya edinir. RFC 5116'da genel hatlarıyla açıklanan kimliği doğrulanmış şifreleme, gizlilik ve bütünlüğü tek bir yapıda verir. Alıcı, değiştirilmiş baytları yalnızca okuyamamakla kalmaz, reddeder ve insanların şifrelemenin karıştırmak demek olduğunu sanırken unuttuğu kısım tam olarak budur.

Anahtarlar o alışverişten gelir, girişte yazılan paroladan değil. Parola bir kimliği doğrular, ardından protokol oturum malzemesini kurar. Geçici anahtar değişimi ileriye dönük gizliliği sağlar, böylece kaydedilmiş bir oturum daha sonra uzun vadeli bir anahtar sızsa bile okunamaz kalır.

Bir şartnamedeki büyük bir sayı bu soruların hiçbirini yanıtlamaz ve ilgisiz algoritmalar arasında sayıları karşılaştırmak bir sıralama değildir. Bunun yerine anahtar değişiminin ne sağladığını sorun.

Tünel nerede biter

Tüneli sonlandıran uç nokta, ilettiği şeyi okuyabilir. Bu, kurumsal bir geçit, ticari bir sağlayıcı ve kendi barındırdığınız bir sunucu için aynı şekilde geçerlidir. Bu tasarımdır, ondaki bir kusur değil. Güçlü kriptografi, ele geçirilmiş bir uç noktanın ona ulaşan düz metni okumasını engelleyemez, çünkü koruma tam olarak uç noktada durur.

HTTPS o noktanın ötesinde devam eder, bu yüzden bir site düşmanca bir ağda VPN olmadan bile güvenli olabilir. İki koruma ilk kesimde örtüşür ve çıkıştan sonra yalnızca biri devam eder.

Bir bağlantının çalışması için sertifika doğrulamasını zayıflatmanın tünel testi olmamasının nedeni de budur. Başka bir korumayı kapatır ve sizi başladığınızdan daha azıyla bırakır.

Anonimlik neden başka bir ürün

Adresler, zamanlama ve hacim tünelin dışında gözlemlenebilir kalır. Bir gözlemci trafiğin bir VPN uç noktasına aktığını, kabaca ne kadar ve ne zaman olduğunu görebilir. İçerik okunamaz olabilir ama desen hâlâ bilgi taşır.

Sağlayıcı da sizin ağınızdan farklı bir yerde oturur, bu gözlemcinin değişmesidir, gözlemin kaldırılması değil. Çerezler, oturum açmalar ve hesap tanımlayıcıları tam olarak eskisi gibi çalışır, çünkü tünel onları değiştirmeyi hiç vaat etmedi.

Gereksinim buysa sağlayıcıyı günlük tutma politikasına ve yargı yetkisine göre seçin, sonra politikanın kendisini okuyun. Pazarlama sayfaları bu soruyu herkesin denetleyebileceği biçimde nadiren yanıtlar.

Tüneli ve siteyi ayrı ayrı doğrulayın

Önce tüneli doğrulayın, böylece hangi korumayı test ettiğinizi bilirsiniz. Sonra sitenin kendi iletimini doğrulayın ve birinin diğerini gerektirdiğini varsaymak yerine iki sonucu karşılaştırın. Sıradan HTTP taşıyan bir tünel ile HTTPS sunan bir site, ikisi de yapılandırıldıkları şeyi tam olarak yapar.

Denetimleri test etmenize izin verilen bir ana makineye karşı çalıştırın ve özeti değil çıktıyı okuyun.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

Tünel açık ve site HTTPS olduğunda ilk kesimde iki korumanız, ikincide bir korumanız olur. Site sıradan HTTP olduğunda ikinci kesim orada bulunan herkes tarafından okunabilir, isteği ileten çıkış da dahil. İkisinden hangisinin eksik olduğunu bilmek tanının tamamıdır ve bunun için yeni bir istemci değil iki komut gerekir.