Đường hầm mã hóa những gì và để lại những gì đọc được

Đường hầm của bạn đang hoạt động, một tab hiện ổ khóa xanh, và một trang HTTP thường ở tab khác vẫn cảnh báo rằng kết nối không an toàn. Sự kết hợp này khiến người ta bối rối vì hai lớp bảo vệ bao phủ những khoảng cách khác nhau. VPN bảo vệ lưu lượng giữa hai đầu của chính nó, và ra khỏi điểm thoát thì lưu lượng lại bình thường. HTTPS bảo vệ một kết nối đến tận trang web. Đặt hai sự thật đó cạnh nhau giải thích phần lớn câu hỏi về việc VPN thực sự giấu những gì.

Đường hầm thực sự bao phủ những gì

Giữa máy khách và đối tác VPN, người quan sát thấy các byte đã mã hóa chứ không phải một yêu cầu đọc được. Điều đó bao phủ đoạn mà đường hầm đi qua, và đó thường là phần bạn không kiểm soát. Nó không mở rộng tới đoạn nối giữa điểm thoát VPN và trang web, vì đường hầm đã kết thúc tại điểm thoát. Các byte lại đọc được kể từ lúc đường hầm kết thúc. Không có gì trong đó là cấu hình sai.

Điểm thoát là một cỗ máy giải mã và chuyển tiếp, và đó chính là mục đích của VPN. Mọi thứ nó chuyển tiếp đều hiện ra với nó dưới dạng đã nhận, nên một yêu cầu HTTP thường vẫn là văn bản thuần từ điểm thoát trở đi.

Hãy đọc đó như một thuộc tính chứ không phải khuyết điểm. Mã hóa được giới hạn trong một đường đi, và đường đi kết thúc nơi dịch vụ bắt đầu.

Khóa, nonce và tính toàn vẹn nói đơn giản

Lưu lượng đang chạy được bảo vệ bằng mật mã đối xứng, và hai đầu tự sinh hoặc lấy vật liệu khóa trong quá trình bắt tay. Mã hóa có xác thực, được RFC 5116 mô tả khái quát, cho cả tính bí mật và tính toàn vẹn trong một cấu trúc. Bên nhận từ chối các byte đã bị sửa thay vì chỉ không đọc được chúng, và đó là phần người ta quên khi nghĩ mã hóa nghĩa là xáo trộn.

Khóa đến từ lần trao đổi đó, không phải từ mật khẩu gõ khi đăng nhập. Mật khẩu xác thực một danh tính, sau đó giao thức thiết lập vật liệu phiên. Trao đổi khóa tạm thời là thứ mang lại tính bí mật về phía trước, nên một phiên bị ghi lại vẫn không đọc được kể cả khi khóa dài hạn bị lộ sau này.

Một con số lớn trong đặc tả không trả lời câu hỏi nào trong số đó, và so sánh các con số giữa những thuật toán không liên quan không phải là bảng xếp hạng. Thay vào đó hãy hỏi việc trao đổi khóa mang lại điều gì.

Đường hầm kết thúc ở đâu

Điểm cuối kết thúc đường hầm có thể đọc những gì nó chuyển tiếp. Điều đó đúng như nhau với cổng doanh nghiệp, nhà cung cấp thương mại và máy chủ tự vận hành. Đó là thiết kế, không phải lỗi. Mật mã mạnh không thể ngăn một điểm cuối bị xâm phạm đọc văn bản thuần đến với nó, vì điểm cuối chính là nơi bảo vệ dừng lại.

HTTPS tiếp tục vượt qua điểm đó, vì thế một trang có thể an toàn trên mạng thù địch ngay cả khi không có VPN. Hai lớp bảo vệ chồng lên nhau ở đoạn đầu và chỉ một trong hai tiếp tục sau điểm thoát.

Cũng vì thế, việc làm yếu kiểm tra chứng chỉ để kết nối hoạt động không phải là phép thử đường hầm. Nó tắt một lớp bảo vệ khác và để bạn với ít hơn những gì bạn bắt đầu.

Vì sao ẩn danh là một sản phẩm khác

Địa chỉ, thời điểm và khối lượng vẫn quan sát được bên ngoài đường hầm. Người quan sát có thể thấy lưu lượng chảy tới một điểm cuối VPN, khoảng bao nhiêu và khi nào. Nội dung có thể không đọc được trong khi mẫu vẫn mang thông tin.

Nhà cung cấp cũng nằm ở nơi khác với mạng của bạn, đó là sự thay đổi người quan sát chứ không phải loại bỏ quan sát. Cookie, đăng nhập và mã định danh tài khoản vẫn hoạt động y như trước, vì đường hầm chưa bao giờ hứa sẽ thay đổi chúng.

Chọn nhà cung cấp theo chính sách ghi nhật ký và quyền tài phán nếu đó là yêu cầu, rồi đọc chính sách đó. Các trang tiếp thị hiếm khi trả lời câu hỏi ấy theo cách ai đó có thể kiểm chứng.

Kiểm tra đường hầm và trang riêng rẽ

Trước hết xác minh đường hầm để biết bạn đang thử lớp bảo vệ nào. Sau đó xác minh đường truyền của chính trang và so sánh hai kết quả thay vì cho rằng cái này bao hàm cái kia. Một đường hầm mang HTTP thường và một trang phục vụ HTTPS đều làm đúng những gì chúng được cấu hình để làm.

Chạy các kiểm tra với một máy chủ mà bạn được phép thử, và đọc kết quả chứ không phải bản tóm tắt.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

Khi đường hầm hoạt động và trang là HTTPS, bạn có hai lớp bảo vệ ở đoạn đầu và một ở đoạn thứ hai. Khi trang là HTTP thường, đoạn thứ hai đọc được với bất kỳ ai ở đó, kể cả điểm thoát đã chuyển tiếp yêu cầu. Biết lớp nào trong hai bị thiếu chính là toàn bộ chẩn đoán, và việc đó cần hai lệnh chứ không phải một máy khách mới.