Vì sao HTTPS vẫn quan trọng sau khi đường hầm VPN kết thúc

Chỉ báo VPN màu xanh, cảm giác riêng tư, rồi trình duyệt hiện cảnh báo chứng chỉ trên trang web của ngân hàng. Không điều gì trong cảnh báo đó tốt hơn nhờ đường hầm. VPN bảo vệ đường đi từ thiết bị của bạn đến máy chủ của chính nó; HTTPS bảo vệ yêu cầu từ trình duyệt của bạn đến điểm cuối TLS của trang web. Chúng bao phủ những chặng khác nhau của hành trình, và cái này không thay thế cái kia.

Hai đường hầm với hai đầu khác nhau

Đường hầm VPN kết thúc tại máy chủ VPN. Sau điểm đó, lưu lượng của bạn tiếp tục trên internet thông thường về phía đích. Nhà vận hành VPN thấy siêu dữ liệu của kết nối dù không đọc được nội dung.

HTTPS bắt đầu trong trình duyệt của bạn và kết thúc tại điểm cuối TLS của trang web. Nó không quan tâm gói tin đến máy chủ bằng cách nào, và nó không phụ thuộc vào việc có VPN hay không.

Vì thế hai lớp bảo vệ bổ sung cho nhau thay vì cạnh tranh. VPN giấu yêu cầu khỏi mạng cục bộ và khỏi nhà cung cấp internet của bạn cho đến lối ra của nó. HTTPS giấu yêu cầu đó khỏi mọi quan sát viên sau lối ra ấy, kể cả chính nhà cung cấp VPN. Không lớp nào che lấp khoảng trống của lớp kia. Ai hiểu điều này sẽ thôi hỏi lớp nào là đủ.

Một biểu mẫu HTTP thông thường vẫn thông thường sau lối ra

Một trang cũ chấp nhận biểu mẫu qua HTTP không được bảo vệ sau máy chủ VPN. Đường hầm mang biểu mẫu đến lối ra, và phần còn lại của tuyến mang nó công khai.

Hãy dùng phiên bản HTTPS thật hoặc một kênh chính thức khác cho bất cứ điều gì nhạy cảm.

Chỉ báo đã kết nối không thay đổi cách vận chuyển của ứng dụng. Chế độ chỉ HTTPS của trình duyệt có thể giúp ngăn một lần lùi không cố ý, nhưng không thể sửa một trang chưa bao giờ cung cấp TLS.

Cảnh báo chứng chỉ không được VPN chữa khỏi

Tên máy chủ sai, chứng chỉ hết hạn, đồng hồ thiết bị lệch hoặc bị chặn giữa đường đều có thể gây lỗi xác thực. VPN không làm cho điều nào trong số đó trở nên vô hại.

Trước hết hãy kiểm tra địa chỉ chính xác và đồng hồ hệ thống.

Nếu có trang đăng nhập mạng, hãy dùng luồng cổng bắt giữ thông thường của nền tảng. Đừng cấp ngoại lệ vĩnh viễn cho một trang tài khoản không liên quan chỉ vì mạng khách sạn yêu cầu.

Trên thiết bị được quản lý, hãy hỏi xem có chứng chỉ kiểm tra được cài hay không. Điều đó thay đổi thỏa thuận tin cậy thông thường và đáng được giải thích cụ thể thay vì nhún vai. Hỏi mục đích của chứng chỉ và ai sở hữu nó.

Mã hóa không ngăn được theo dõi

Phiên mang cookie, thông tin đăng nhập và dữ liệu biểu mẫu đến trang web đúng như dự định. Kẻ theo dõi cũng có thể đi nhờ một kết nối được mã hóa, và phần lớn làm vậy.

VPN thay đổi tuyến và địa chỉ ra bề ngoài. Nó không thay đổi danh tính bạn cung cấp qua tài khoản, và không xóa cookie theo bạn giữa các trang.

Hãy giữ những biện pháp bảo vệ trình duyệt bạn đã dùng. VPN là phần thêm vào, không phải thứ thay thế.

Kiểm tra địa chỉ, không phải chỉ báo

Xác minh tên máy chủ trên thanh địa chỉ và chứng chỉ mà trang web trình bày. Ổ khóa nghĩa là kết nối được mã hóa đến một điểm cuối nào đó; không có nghĩa điểm cuối đó là điểm bạn định đến.

Hai lệnh cho thấy chứng chỉ và chuỗi chuyển hướng:

curl -sSI https://bank.example/ | head -5
openssl s_client -connect bank.example:443 -servername bank.example < /dev/null 2>/dev/null | openssl x509 -noout -subject -dates

Nếu chứng chỉ nêu một máy chủ khác, hãy dừng lại. Nếu đồng hồ sai, hãy sửa trước khi thử lại. Nếu chuyển hướng đưa bạn đến HTTP thường, hãy coi đó là lỗi của trang web chứ không phải lý do tắt xác thực. Cảnh báo của trình duyệt tồn tại vì lựa chọn thay thế là đoán xem điểm cuối nào đã nhận mật khẩu của bạn.