VPN і Tor не замінюють HTTPS: де закінчується кожен рівень

VPN і ланцюг Tor шифрують ваш трафік на частині шляху. Обидва перестають його шифрувати на партнері, якого вибирають самі. HTTPS — це рівень, який доходить до самого сайту, і жодна кількість тунелів перед ним не перетворює надсилання звичайної форми на захищене. Простеження кожного рівня до точки, де він закінчується, робить це очевидним.

Три рівні, три різні кінцеві точки

Звичайний VPN завершує свій тунель на VPN-сервері. Усе між вашим пристроєм і цим сервером перебуває всередині тунелю, а все після нього — ні. Ланцюг Tor поводиться так само з іншим партнером і залишає мережу на вихідному вузлі, який передає ваш запит до місця призначення.

TLS завершується на сайті. Сертифікат, який ви перевірили, пов'язує ім'я хоста з ключем, яким керує сайт, а сеансові ключі існують між вашим браузером і цим сервером. Ця кінцева точка лежить за межами і VPN-сервера, і виходу Tor.

Отже, три рівні мають три різні межі довіри, і запит послідовно проходить через усі. Посилення одного нічого не каже про інші, а останній — єдиний, у якому бере участь місце призначення.

Що розкриває останній крок

Якщо застосунок використовує звичайний HTTP, вміст за виходом може читати кожен, хто керує цим кроком. Попередній тунель виконав свою роботу бездоганно, і його просто більше немає. Облікові дані, введені у HTTP-форму, розкриваються саме в тій точці, де закінчився захист.

За коректно перевіреного HTTPS посередник на шляху не може прочитати або тихо змінити вміст застосунку. Він усе ще бачить, що ви підключилися, коли і до якої адреси, бо заголовки пакетів мають бути маршрутизованими. Конфіденційність вмісту й метадані про з'єднання — різні властивості, і лише першу забезпечує TLS.

Ідентичність облікового запису — це знову третя річ. Вхід в обліковий запис ідентифікує вас перед цим сервісом незалежно від того, яку вихідну адресу ви використали, тому вихід захищає мережевий шлях, а не обліковий запис. Ця відмінність переживає будь-яку кількість рівнів перед нею. Зміна виходів ніколи не змінює того, що розкриває сеанс із виконаним входом. Сервіс знав, хто ви, ще до того, як пішов перший пакет.

Ніщо в цій схемі не ламається від додавання другого тунелю. Змінюється те, який спостерігач бачить перший крок, а не те, чи зашифрований останній.

Порядок змінює спостерігачів, а не кінцеву точку

Зв'язування VPN і Tor у ланцюг — законний спосіб змінити те, хто що бачить на мережевому рівні. Запуск Tor через VPN приховує від вашої мережі доступу сам факт використання Tor, а запуск VPN через Tor приховує вашу адресу від провайдера VPN. Обидва порядки описані в публічній документації, і обидва мають компроміси в продуктивності та поведінці під час збоїв.

Жоден із порядків не зсуває кінцеву точку TLS. В обох випадках браузер і далі перевіряє сертифікат для запитаного імені хоста, і в обох випадках адреса HTTP і далі надсилає свій вміст відкрито після останнього вузла. Композиція змінює список спостерігачів; вона не змінює кількість рівнів у місці призначення.

Тому поради щодо зв'язування зазвичай стосуються моделей загроз, а не безпеки загалом. Довший ланцюг не є посиленою версією того самого, і він не замінює протокол, який обрала програма.

curl -sSI https://example.net | head -3
openssl s_client -connect example.net:443 -servername example.net -brief

Обидві команди показують рівень, важливий у місці призначення. Друга виводить узгоджений протокол, не залучаючи жодного тунелю. Жодна не каже вам нічого про вихід, який ви використали.

Тримайте перевірку працездатною, поки шукаєте несправність

Попередження про сертифікат — це інформація про з'єднання, яке ви збираєтеся встановити. Воно може означати незбіг імені хоста, проблему з годинником, недовірений ланцюг або спробу перехоплення. Додавання постійного винятку через підключений VPN прибирає єдиний сигнал, який розрізнив би ці випадки.

Функції безпечного з'єднання Tor Browser і його попередження існують з тієї ж причини, і їх вимкнення заради завантаження сторінки змінює видимий збій на невидимий. Якщо до сайту не можна дістатися без винятку, чесний висновок — з'єднання неможливо перевірити, а не те, що тунель зробив його безпечним.

Шифрування також нічого не каже про намір. Справжнє HTTPS-з'єднання з обманним сайтом доставляє ваші дані цьому сайту з ідеальною конфіденційністю. Перевіряйте адресу й те, що ви надсилаєте, а не лише наявність замка.

Сервіси Onion — справді інша модель. До них потрапляють через мережу Tor без звичайного публічного виходу, і це не те саме, що заходити на публічний сайт через Tor. Ставтеся до цього як до окремого випадку з власними очікуваннями, а не як до посиленої версії того самого візиту.

Правило, яке витримує будь-яку конфігурацію, коротке. Зберігайте перевірку браузера недоторканою. Оцінюйте кожен рівень за тим, де він насправді закінчується.