Чому HTTPS і далі важливий після завершення тунелю VPN

Зелений індикатор VPN, відчуття приватності, а потім браузер показує попередження про сертифікат на сайті банку. Ніщо в цьому попередженні не покращується через тунель. VPN захищає шлях від пристрою до власного сервера; HTTPS захищає запит від браузера до кінцевої точки TLS сайту. Вони покривають різні ділянки подорожі, і одне не замінює інше.

Два тунелі з двома різними кінцями

Тунель VPN закінчується на сервері VPN. Після цієї точки трафік продовжує йти звичайним інтернетом до місця призначення. Оператор VPN бачить метадані з'єднання, хоча не може прочитати вміст.

HTTPS починається в браузері й закінчується в кінцевій точці TLS сайту. Йому байдуже, як пакет дійшов до сервера, і він не залежить від наявності VPN.

Тому ці два захисти доповнюють один одного, а не змагаються. VPN приховує запит від локальної мережі та від провайдера до власного виходу. HTTPS приховує його від кожного спостерігача після цього виходу, зокрема від самого провайдера VPN. Жоден не закриває прогалину іншого. Хто це розуміє, перестає питати, якого достатньо.

Звичайна форма HTTP залишається звичайною і після виходу

Старий сайт, що приймає форму через HTTP, за сервером VPN не захищений. Тунель несе форму до виходу, а решта маршруту несе її відкрито.

Для всього чутливого використовуйте справжню версію HTTPS або інший офіційний канал.

Індикатор з'єднання не змінює транспорт застосунку. Режим лише HTTPS у браузері може допомогти запобігти випадковому відкату, але не виправить сайт, який ніколи не пропонував TLS.

Попередження про сертифікат не лікується VPN

Неправильне ім'я хоста, прострочений сертифікат, скошений годинник пристрою або перехоплення можуть спричинити помилку перевірки. VPN не робить жодного з них безпечним.

Передусім перевірте точну адресу та системний годинник.

Якщо задіяна сторінка входу в мережу, використовуйте звичайний процес captive portal платформи. Не давайте постійного винятку сторонньому сайту акаунта лише тому, що про це попросила готельна мережа.

На керованому пристрої запитайте, чи встановлено сертифікат інспекції. Це змінює звичайний порядок довіри й заслуговує на конкретне пояснення, а не знизування плечима. Запитайте про призначення сертифіката і кому він належить.

Шифрування не зупиняє відстеження

Сеанс несе файли cookie, входи та дані форм на сайт рівно так, як задумано. Трекер теж може їхати на зашифрованому з'єднанні, і більшість так і робить.

VPN змінює маршрут і видиму адресу виходу. Він не змінює особу, яку ви надаєте через акаунт, і не стирає cookie, що йде за вами між сайтами.

Зберігайте ті захисти браузера, які вже використовуєте. VPN — це доповнення до них, а не заміна.

Перевіряйте адресу, а не індикатор

Перевірте ім'я хоста в адресному рядку й сертифікат, який представляє сайт. Замок означає, що з'єднання зашифроване до якоїсь кінцевої точки; це не означає, що ця кінцева точка — та, яку ви мали на увазі.

Дві команди показують сертифікат і ланцюжок переспрямувань:

curl -sSI https://bank.example/ | head -5
openssl s_client -connect bank.example:443 -servername bank.example < /dev/null 2>/dev/null | openssl x509 -noout -subject -dates

Якщо сертифікат називає інший хост, зупиніться. Якщо годинник неправильний, виправте його перед повторною спробою. Якщо переспрямування веде вас на простий HTTP, вважайте це збоєм сайту, а не причиною вимкнути перевірку. Попередження браузера існує тому, що альтернатива — вгадувати, яка кінцева точка отримала ваш пароль.