VPN:t ja verkkosivustot ilman HTTPS:ää: kuinka pitkälle suojauksesi ulottuu?

Informatec Digital » Resurssit » VPN:t ja verkkosivustot ilman HTTPS:ää: kuinka pitkälle suojauksesi ulottuu?

Kun joku sanoo sinulle, että "käytä VPN:ää ja olet valmis", todellisuus on paljon monimutkaisempi. VPN ei ole mikään ihmelääke, joka ratkaisee kaikki tietoturvaongelmat , varsinkaan silloin, kun vierailet verkkosivustoilla, jotka eivät käytä HTTPS:ää tai jotka on määritetty väärin. Tämän suojauksen rajojen ymmärtäminen on avainasemassa väärän turvallisuuden tunteen välttämiseksi selaamisen aikana.

Kuvittele tämä hyvin yleinen tilanne: vierailet verkkosivustolla, jota olet käyttänyt vuosia, ja yhtäkkiä selaimesi varoittaa, että siinä ei enää ole turvalukkoa eikä se käytä HTTPS:ää . Joku väittää, että jos muodostat yhteyden VPN:n kautta, "mitään ei tapahdu", koska tietosi kulkevat turvallisesti. Toiset taas väittävät, että VPN suojaa tietojasi vain palvelimilleen asti, mutta ei verkkosivustolta VPN:ään. Kuka on oikeassa, ja mitä tiedoillesi tarkalleen ottaen tapahtuu tuon matkan aikana?

Mikä VPN tarkalleen ottaen on ja mitä osaa yhteydestä se suojaa?

Ennen kuin syvennymme HTTPS:n ja turvattomien verkkosivustojen monimutkaisuuteen, on syytä selventää, mitä VPN tekee teknisesti. VPN luo salatun tunnelin laitteesi ja VPN:n palvelimien välille . Kaikki, mikä lähtee puhelimestasi, tietokoneestasi tai tabletistasi ja menee internetiin, kulkee ensin tämän tunnelin läpi.

Tämä tarkoittaa, että liikenne internet-yhteyspisteestäsi (koti-Wi-Fi, työpaikan verkko tai julkinen Wi-Fi baarissa) VPN-palvelimelle on salattu . Kuka tahansa siltä väliltä (internet-palveluntarjoajasi, verkonvalvoja tai hyökkääjä avoimessa Wi-Fi-verkossa) näkee vain salatun datan, ei lähettämäsi tai vastaanottamasi sisällön.

Kun tietosi kuitenkin poistuvat VPN-palvelimelta ja saapuvat vierailemallesi verkkosivustolle, tunneli ei enää suojaa niitä. VPN:stä verkkosivustolle yhteytesi toimii kuten minkä tahansa muun käyttäjän : suojaus (tai sen puute) riippuu siitä, käyttääkö verkkosivusto HTTPS:ää, miten palvelin on määritetty ja muista tekijöistä.

Siksi usein sanotaan, että VPN suojaa "laitteesi ↔ VPN-palvelin" -segmenttiä , mutta sillä ei ole suoraa hallintaa siihen, mitä VPN-palvelimelta kohdeverkkopalvelimelle siirtyy. Tämä viimeinen segmentti on avainasemassa sen ymmärtämisessä, kulkeeko tietosi turvallisesti vai ei.

VPN:n ja HTTPS:n väliset erot: kaksi erillistä suojauskerrosta

VPN:n ja HTTPS:n käsitteet sekoitetaan usein ikään kuin ne olisivat sama asia, mutta ne ovat erillisiä tekniikoita, jotka toimivat eri tasoilla . Molemmat salaavat tietoja kyllä, mutta eivät samalla tavalla tai samassa vaiheessa siirtoprosessia. Katso selaimen tietoturvaoppaamme.

HTTPS on HTTP:n laajennus, joka käyttää TLS/SSL-salausta. Kun näet lukkosymbolin osoiterivillä, se tarkoittaa, että selaimesi ja verkkopalvelimesi välillä on päästä päähän -salaus . Kukaan siltä väliltä (ei internet-palveluntarjoajasi tai itse VPN) ei voi nähdä sivujen tarkkaa sisältöä, salasanojasi tai mitään tietoja, joita lähetät kyseiselle sivustolle.

VPN puolestaan ​​salaa laitteesi ja oman palvelimensa välisen liikenteen , mutta se ei määrittele, miten palvelin sitten kommunikoi verkkosivuston kanssa. Jos verkkosivusto käyttää HTTPS:ää oikein, VPN-palvelimen ja verkkosivuston välinen yhteys on myös salattu. Jos verkkosivusto käyttää vain HTTP:tä (ilman s-kirjaimia), kyseinen osa yhteydestä on salattu.

Yksinkertaisesti sanottuna: VPN hoitaa "internetiin pääsyn ", kun taas HTTPS hoitaa suoran yhteyden selaimesi ja käyttämäsi verkkosivuston välillä. Ne ovat toisiaan täydentäviä kerroksia, eivät korvaavia.

Kun kaikki on määritetty oikein (VPN + HTTPS), sinulla on kaksinkertainen suojaus: internet-palveluntarjoajasi ei näe sisältöä VPN:n ansiosta, eikä VPN itse näe salattua HTTPS-sisältöä . Mutta kun toinen näistä tasoista puuttuu (esimerkiksi kun verkkosivusto ei käytä HTTPS:ää), tilanne muuttuu huomattavasti.

Mitä tapahtuu, kun käytät verkkosivustoa ilman HTTPS:ää VPN:n avulla?

Tarkastellaan kuvailemaasi tilannetta: vierailet verkkosivustolla, jolla ei ole HTTPS:ää, selaimesi näyttää hälytyksen ja päätät käyttää VPN:ää, koska joku on sanonut sinulle sen olevan "turvallinen". Tässä tapauksessa VPN suojaa sinua vain tietyiltä riskeiltä, ​​ei kaikilta.

Laitteestasi VPN-palvelimelle kaikki on salattu VPN:n ansiosta . Internet-palveluntarjoajasi, Wi-Fi-verkon omistaja tai lähellä oleva hyökkääjä ei voi lukea tarkalleen, millä verkkosivustolla vierailet tai mitä tietoja syötät (vaikka he voisivatkin päätellä joitakin liikennemalleja, mutta eivät yksityiskohtaista sisältöä).

VPN-palvelimelta verkkosivustolle ilman HTTPS-yhteyttä yhteys on kuitenkin puhdasta HTTP-yhteyttä eli salaamatonta tekstiä . Tässä segmentissä kuka tahansa, joka voi seurata VPN-palvelimen ja web-palvelimen välistä liikennettä (esimerkiksi välittäjäverkoissa tai itse verkkosivuston tarjoajan luona), voi tarkastella sisältöä.

Käytännössä muutos on haavoittuvuuden sijainnissa . Ilman VPN:ää yhteyden suojaamaton osa ulottuu laitteestasi verkkosivustolle. VPN:n avulla tämä suojaamaton osa siirretään "VPN-palvelin ↔ verkkosivusto" -vyöhykkeelle, mutta se on edelleen olemassa niin kauan kuin verkkosivusto ei käytä HTTPS:ää.

Lisäksi on tärkeää muistaa, että koska HTTPS-protokollaa ei käytetä, isäntäsivusto vastaanottaa tietosi selkotekstinä . Tämä tarkoittaa, että kaikki lähettämäsi tiedot (käyttäjätunnukset, salasanat, lomakkeet, henkilötiedot) saapuvat sivuston palvelimelle salaamattomana, joten ne voidaan siepata tai tallentaa turvattomasti.

Mitä VPN suojaa, jos sivulla ei ole HTTPS:ää?

Rajoituksistaan ​​huolimatta VPN tarjoaa joitakin hyödyllisiä etuja, jopa selattaessa verkkosivustoja ilman HTTPS:ää. Ensimmäinen merkittävä etu on todellisen IP-osoitteesi piilottaminen . Vierailemasi sivusto ei näe IP-osoitettasi, vaan VPN-palvelimen IP-osoitteen.

Tämä tarkoittaa, että verkkosivusto (ja mikään kolmas osapuoli, jolla on pääsy sen lokeihin) ei voi helposti yhdistää toimintaasi kotisi internetyhteyteen tai tarkkaan sijaintiisi . Monille ihmisille tämä anonymiteetin peruskerros on jo erittäin tärkeä, varsinkin käytettäessä verkkosivustoja, joilla he eivät halua paljastaa todellista IP-osoitettaan.

VPN suojaa myös lähimpänä olevaa aluetta, jossa arkipäivän riskit ovat yleisimpiä: se estää internet-palveluntarjoajaasi näkemästä tarkalleen, millä verkkosivustoilla vierailet ja millaista toimintaa niillä käytät (vaikka he tietäisivätkin, että käytät VPN:ää). Se suojaa myös uteliailta katseilta julkisissa verkoissa, kuten klassisilla hyökkääjillä lentokentän tai hotellin Wi-Fi-verkossa.

Yhteenvetona tästä: VPN suojaa sinua lähellä olevilta vakoojilta (internet-palveluntarjoajalta, verkonvalvojalta, paikallisilta hyökkääjiltä) ja piilottaa IP-osoitteesi verkosta , mutta se ei taianomaisesti muuta suojaamatonta verkkosivustoa turvalliseksi ympäristöksi arkaluonteisten tietojen syöttämiseen.

Mitä VPN EI VOI tehdä verkkosivustolla, jolla ei ole HTTPS:ää

Suurin hämmennyksen lähde on se, mitä VPN:t eivät pysty tekemään. VPN ei automaattisesti salaa VPN-palvelimen ja verkkosivuston välistä yhteyttä, jos kyseinen verkkosivusto ei käytä HTTPS:ää. Tämä segmentti pysyy alttiina salakuuntelijoille verkkosivuston palvelimen lähellä tai välirakenteessa.

VPN ei myöskään voi estää verkkosivustoa itseään näkemästä ja tallentamasta lähettämiäsi tietoja selkokielellä . Jos annat käyttäjätunnuksesi ja salasanasi HTTP-sivulla, verkkosivusto vastaanottaa tunnistetiedot täsmälleen sellaisinaan, ilman suojaa. Jos sivulla on tietoturva-aukko, se on vaarantunut tai ylläpitäjä ei hallinnoi tietoja oikein, tunnistetietosi voivat vuotaa.

Toinen tärkeä rajoitus: VPN:t eivät suojaa sinua haitallisilta verkkosivustoilta sisäänrakennetulla tavalla . Jos sivu on tietojenkalasteluhuijaus, joka yrittää huijata sinua antamaan tietoja tai lataamaan haittaohjelmia, VPN ei estä sinua joutumasta ansaan. Voit pysyä "anonyyminä" VPN:n IP-osoitteen ansiosta, mutta olet silti altis petoksille.

Lisäksi on tärkeää pitää mielessä, että VPN-palveluntarjoajasi saattaa lokikirjauskäytännöstään ja lainkäyttöalueestaan ​​riippuen nähdä metatietoja toiminnastasi (millä verkkotunnuksilla vierailet, milloin, kuinka paljon liikennettä tuotat jne.). Verkkosivustoilla, joilla ei ole HTTPS:ää, he voivat teknisesti ottaen jopa nähdä sisältöä, jos he sieppaavat liikenteen VPN:stä verkkosivustolle, joten luottamus palveluntarjoajaan on toinen keskeinen tekijä.

Lopuksi, VPN ei ratkaise ongelmia, kuten käyttöjärjestelmän haavoittuvuuksia, laitteesi haittaohjelmia tai huonoja perustietoturvakäytäntöjä . Jos tietokoneesi on saanut tartunnan, VPN:n käytöstä ei ole juurikaan hyötyä: haittaohjelma voi lukea kirjoittamasi tekstin ennen sen salaamista. Voit vähentää tätä riskiä käyttämällä kyberturvallisuusohjelmistoa.

Joten kuka on oikeassa VPN-suojauksen suhteen?

Palatakseni saamiisi mielipiteisiin, molemmissa on jonkin verran perää, mutta se on vivahteikas. Se, joka sanoi sinulle, että VPN suojaa vain laitteeltasi VPN-palvelimille, on oikeassa liikenteen salauksen suhteen : se on todellakin se alue, jolla VPN varmistaa, että tiedot kulkevat salattuina.

Tämä näkemys on kuitenkin puutteellinen identiteetin ja yksityisyyden suhteen. VPN vaikuttaa myös siihen, miten verkkosivustot havaitsevat sinut, koska ne havaitsevat VPN-palvelimen IP-osoitteen, eivät omaasi . Tässä mielessä identiteettisi on suojattu koko yhteyden ajan, myös salaamattomassa HTTPS-osassa.

Toisaalta ne, jotka väittävät, että "VPN suojaa sinua riippumatta siitä, miten tiedot lähetetään", yksinkertaistavat asiaa, ja tämä voi olla harhaanjohtavaa . Jos sivu ei käytä HTTPS:ää, tiedot EIVÄT ole päästä päähän -salattuja, ja osa yhteydestä pysyy haavoittuvana.

Tarkin tapa selittää se olisi: VPN suojaa yhteyttäsi tietyiltä osapuolilta (internet-palveluntarjoaja, lähiverkko, jotkut välittäjähavainnot) ja piilottaa IP-osoitteesi, mutta se ei korvaa HTTPS-salausta selaimesi ja verkkosivuston välillä . Ilman HTTPS:ää tuo viimeinen osa matkasta ei ole koskaan täysin turvallinen.

Siksi siinä nimenomaisessa tapauksessa, että sivu varoittaa HTTPS:n käytöstä, pelkkä VPN:n käyttö ei tee salasanojen tai arkaluonteisten tietojen syöttämisestä täysin turvallista . Se voi parantaa yksityisyyttäsi ja vähentää tiettyjä riskejä, mutta se ei poista taustalla olevaa ongelmaa: verkkosivusto ei tarjoa päästä päähän -salausta.

Käytännön riskit verkkosivustojen käyttämisessä ilman HTTPS:ää, vaikka VPN:ää käytettäisiin

Teorian lisäksi on tärkeää ymmärtää erityiset riskit, joita otat, kun jatkat verkkosivuston käyttöä ilman HTTPS:ää, jopa VPN:n kanssa. Ensimmäinen on tunnistetietojen tai henkilötietojen varastaminen salaamattomissa osioissa . Jos joku saa pääsyn VPN:n ja verkkosivuston väliseen liikenteeseen, hän voi lukea lähettämäsi viestit.

Se lisää myös VPN:n ja verkkosivuston palvelimen välisten man-in-the-middle-hyökkäysten mahdollisuutta. Ilman HTTPS:ää ei ole vahvaa vahvistusta siitä, että olet yhteydessä lailliseen palvelimeen , mikä antaa hyökkääjälle mahdollisuuden tekeytyä verkkosivustoksi siinä vaiheessa.

Toinen ongelma on, että tietojen eheyttä ei voida taata . HTTPS:n avulla selain havaitsee, jos joku muokkaa sisältöä kesken lähetystä. Ilman HTTPS:ää hyökkääjä voisi tietämättään lisätä haitallista koodia verkosta ladatulle sivulle, vaikka käyttäisit VPN:ää.

Lisäksi verkkosivuston palvelin tai välikädet voivat tarkastaa selaamistasi perusteellisesti viimeisessä vaiheessa. VPN:n käyttö ei estä sisällön siirtymistä salaamattomana suojaamattomalle palvelimelle , joten yksityisyytesi on osittain vaarantunut.

Lopuksi, monet verkkosivustot, jotka ovat menettäneet tai poistaneet HTTPS:n käytöstä, ovat usein huonosti ylläpidettyjä tai vanhentuneita . Tämä lisää muiden vakavien haavoittuvuuksien riskiä ja mahdollisuutta, että tietosi voivat vaarantua palvelimeen kohdistuvan hyökkäyksen seurauksena, mitä VPN ei voi estää.

Parhaat käytännöt VPN-verkkojen käyttöön vaarallisten verkkosivustojen kanssa

Kaiken edellä mainitun perusteella sinun tulisi mieluiten käyttää VPN:ää lisäsuojakerroksena, mutta silti käyttää maalaisjärkeä vieraillessasi vaarallisilla verkkosivustoilla. Ensimmäinen suositus on yksinkertainen: vältä kirjautumista tai arkaluonteisten tietojen syöttämistä sivuille, joilla ei ole HTTPS:ää , vaikka olisitkin VPN:n takana.

Jos sinulla jostain syystä ei ole vaihtoehtoa (esimerkiksi vanhempi palvelu, joka toimii vain tällä tavalla), harkitse erityisten tunnistetietojen luomista ja saman salasanan käyttämisen välttämistä muilla sivustoilla. Tällä tavoin vahinko on pienempi, jos tunnistetietosi vaarantuvat.

Toinen hyvä käytäntö on aina tarkistaa selaimesi varoitukset . Jos moderni selaimesi varoittaa, että sivu ei ole suojattu tai että varmenne on virheellinen, ota se vakavasti. VPN ei ohita näitä varoituksia, ja on parasta vetäytyä pois, jos sivusto ei vaikuta luotettavalta.

On myös viisasta valita VPN-palveluntarjoaja, jolla on hyvä maine, selkeät lokitietottomuuden käytännöt ja vahva salaus . Jos aiot siirtää luottamuksesi internet-palveluntarjoajaltasi VPN:ään, varmista ainakin, että kyseessä on hyvämaineinen ja läpinäkyvä yritys; tai harkitse edistyneitä itse isännöityjä VPN- vaihtoehtoja.

Pidä lopuksi järjestelmäsi ajan tasalla, käytä hyvää selainta ja mahdollisuuksien mukaan ota käyttöön ominaisuuksia, kuten Vain HTTPS, tai laajennuksia, jotka pakottavat HTTPS:n käytön, kun sivu sallii sen. Vaikka nämä eivät ratkaise tapauksia, joissa sivusto ei tarjoa HTTPS:ää lainkaan, ne auttavat minimoimaan tahattomat suojaamattomat yhteydet.

Kaiken keskustelemamme perusteella on selvää, että VPN on erittäin hyödyllinen työkalu yhteytesi yksityisyyden ja turvallisuuden parantamiseen, mutta se ei korvaa HTTPS:ää tai korjaa huonosti suojatun verkkosivuston haavoittuvuuksia . Ilmaus "VPN suojaa kaikkea" on kaukana teknisestä todellisuudesta: se suojaa sinua tietyiltä toimijoilta, piilottaa IP-osoitteesi ja vahvistaa selaamistasi, mutta jos verkkosivusto on lopettanut HTTPS:n käytön, sinulla on silti heikko kohta yhteyden viimeisessä vaiheessa ja vuorovaikutuksessa kyseisen verkkosivuston palvelimen kanssa. Siksi päätöksen tietojesi uskomisesta VPN:lle tulisi perustua tähän riskiin, ei VPN-verkkoihin joskus liitettyyn väärään haavoittumattomuuden tunteeseen.