VPN và Tor không thay thế HTTPS: mỗi lớp kết thúc ở đâu
Một đường hầm kết thúc tại đối tác của chính nó và một mạch Tor kết thúc tại một rơ le thoát. Chỉ HTTPS mới tới được trang, nên một biểu mẫu thường vẫn đọc được.
VPN và mạch Tor đều mã hóa lưu lượng của bạn trong một phần hành trình. Cả hai ngừng mã hóa tại một đối tác do chúng tự chọn. HTTPS là lớp đi tới tận trang web, và không lượng đường hầm nào phía trước biến việc gửi biểu mẫu thường thành một lần gửi được bảo vệ. Theo từng lớp tới điểm nó kết thúc sẽ khiến điều đó trở nên rõ ràng.
Ba lớp, ba điểm kết thúc khác nhau
Một VPN thông thường kết thúc đường hầm của nó tại máy chủ VPN. Mọi thứ giữa thiết bị của bạn và máy chủ đó nằm bên trong đường hầm, và mọi thứ sau đó thì không. Một mạch Tor hành xử tương tự với một đối tác khác, rời mạng tại một rơ le thoát để chuyển yêu cầu của bạn tới đích.
TLS kết thúc tại trang. Chứng thư bạn đã xác thực gắn một tên máy chủ với một khóa do trang kiểm soát, và các khóa phiên tồn tại giữa trình duyệt của bạn và máy chủ đó. Điểm kết thúc đó nằm ngoài cả máy chủ VPN lẫn cửa ra Tor.
Vậy ba lớp có ba ranh giới tin cậy khác nhau, và một yêu cầu đi qua tất cả theo thứ tự. Việc củng cố một lớp không nói gì về các lớp khác, và lớp cuối là lớp duy nhất mà đích tham gia.
Bước nhảy cuối để lộ điều gì
Nếu ứng dụng dùng HTTP thường, nội dung phía sau cửa ra có thể bị bất kỳ ai điều hành bước nhảy đó đọc được. Đường hầm trước đó đã làm tròn công việc một cách hoàn hảo và nó đơn giản là không còn nữa. Thông tin đăng nhập gõ vào biểu mẫu HTTP bị lộ đúng tại điểm mà việc bảo vệ đã kết thúc.
| Layer | Terminates at | Who can read the request there |
|---|---|---|
| VPN tunnel | The VPN server you selected | The operator of that server, and anyone who can compel them |
| Tor circuit | An exit relay chosen by the network | The exit relay operator, for traffic that is not otherwise protected |
| HTTPS | The website's own TLS endpoint | The site itself, and no intermediary on the path |
Với HTTPS được xác thực đúng cách, một trung gian trên đường đi không thể đọc hay âm thầm sửa nội dung của ứng dụng. Nó vẫn thấy rằng bạn đã kết nối, khi nào và tới địa chỉ nào, vì các tiêu đề gói phải định tuyến được. Tính bí mật của nội dung và siêu dữ liệu về kết nối là những thuộc tính khác nhau, và chỉ thuộc tính đầu là điều TLS cung cấp.
Danh tính tài khoản lại là điều thứ ba. Đăng nhập vào một tài khoản nhận diện bạn với dịch vụ đó bất kể bạn dùng địa chỉ ra nào, nên cửa ra bảo vệ đường mạng chứ không phải tài khoản. Sự phân biệt đó tồn tại qua bất kỳ số lớp nào phía trước. Đổi cửa ra không bao giờ thay đổi điều mà một phiên đã đăng nhập để lộ. Dịch vụ đã biết bạn là ai trước khi gói đầu tiên rời đi.
Không gì trong cách sắp xếp này hỏng khi thêm một đường hầm thứ hai. Điều thay đổi là quan sát viên nào thấy bước nhảy đầu tiên, không phải bước nhảy cuối có được mã hóa hay không.
Thứ tự thay đổi các quan sát viên, không phải điểm kết thúc
Việc xâu chuỗi VPN và Tor là một cách hợp pháp để thay đổi ai thấy gì ở mức mạng. Chạy Tor trên VPN giấu mạng truy cập của bạn việc bạn dùng Tor, trong khi chạy VPN trên Tor giấu địa chỉ của bạn với nhà cung cấp VPN. Cả hai thứ tự đều được mô tả trong tài liệu công khai và cả hai đều có đánh đổi về hiệu năng và hành vi khi lỗi.
Không thứ tự nào dịch chuyển điểm kết thúc TLS. Trong cả hai trường hợp trình duyệt vẫn xác thực chứng thư cho tên máy chủ được yêu cầu, và trong cả hai trường hợp một địa chỉ HTTP vẫn gửi nội dung của nó một cách công khai sau rơ le cuối. Việc kết hợp thay đổi danh sách quan sát viên; nó không thay đổi số lớp tại đích.
Đó là lý do các lời khuyên về xâu chuỗi thường nói về mô hình mối đe dọa chứ không phải an toàn nói chung. Một chuỗi dài hơn không phải là phiên bản mạnh hơn của cùng một thứ, và nó không thay thế giao thức mà ứng dụng đã chọn.
curl -sSI https://example.net | head -3
openssl s_client -connect example.net:443 -servername example.net -briefCả hai lệnh đều cho thấy lớp quan trọng tại đích. Lệnh thứ hai in ra giao thức đã thương lượng mà không liên quan tới bất kỳ đường hầm nào. Không lệnh nào cho bạn biết điều gì về cửa ra bạn đã dùng.
Giữ cho việc xác thực hoạt động trong khi gỡ lỗi
Một cảnh báo chứng thư là thông tin về kết nối bạn sắp thực hiện. Nó có thể nghĩa là tên máy chủ không khớp, một vấn đề đồng hồ, một chuỗi không đáng tin hoặc một nỗ lực chặn bắt. Thêm một ngoại lệ thường trực vì có VPN đang kết nối sẽ xóa bỏ tín hiệu duy nhất từng phân biệt các trường hợp đó.
Các tính năng kết nối an toàn của Tor Browser và các cảnh báo của nó tồn tại vì cùng lý do, và việc tắt chúng để một trang tải được sẽ đổi một thất bại nhìn thấy được lấy một thất bại không nhìn thấy. Nếu không thể tới một trang mà không có ngoại lệ, kết luận trung thực là kết nối không thể xác minh được, chứ không phải đường hầm đã làm nó an toàn.
Mã hóa cũng không nói gì về ý định. Một kết nối HTTPS hợp lệ tới một trang lừa đảo vẫn chuyển dữ liệu của bạn tới trang đó với tính bí mật hoàn hảo. Hãy kiểm tra địa chỉ và điều bạn gửi, không chỉ xem có ổ khóa hay không.
Dịch vụ Onion là một mô hình thực sự khác. Người ta tới chúng qua mạng Tor mà không có một cửa ra công khai thông thường, điều này không giống với việc truy cập một trang công khai qua Tor. Hãy coi đó là một trường hợp riêng với những kỳ vọng riêng, chứ không phải phiên bản mạnh hơn của cùng chuyến thăm.
Quy tắc còn lại qua mọi cấu hình thì ngắn. Giữ nguyên việc xác thực của trình duyệt. Đánh giá mỗi lớp theo nơi nó thực sự kết thúc.