VPN и веб-сайты без HTTPS: насколько широка ваша защита?

Информатек Диджитал » Ресурсы » VPN и веб-сайты без HTTPS: насколько широка ваша защита?

Когда вам говорят: «Используйте VPN, и всё будет в порядке», реальность гораздо сложнее. VPN — это не волшебная палочка, которая решает все проблемы безопасности , особенно когда вы посещаете веб-сайты, которые не используют HTTPS или неправильно настроены. Понимание ограничений этой защиты — ключ к тому, чтобы избежать ложного чувства безопасности во время просмотра веб-страниц.

Представьте себе очень распространенную ситуацию: вы заходите на сайт, которым пользуетесь уже много лет, и вдруг ваш браузер предупреждает, что на нем больше нет значка замка безопасности и он не использует HTTPS . Кто-то говорит вам, что если вы подключитесь через VPN, «ничего не случится», потому что ваша информация передается безопасно. Другие же утверждают, что VPN защищает ваши данные только до своих серверов, но не от сайта до VPN. Кто прав, и что именно происходит с вашими данными во время этого пути?

Что именно представляет собой VPN и какую часть соединения он защищает?

Прежде чем углубляться в сложности HTTPS и небезопасные веб-сайты, стоит уточнить, что такое VPN с технической точки зрения. VPN создает зашифрованный туннель между вашим устройством и серверами VPN . Все, что покидает ваш телефон, компьютер или планшет и попадает в интернет, сначала проходит через этот туннель.

Это означает, что от вашей точки доступа в интернет (домашняя сеть Wi-Fi, рабочая сеть или общедоступная сеть Wi-Fi в баре) до VPN-сервера трафик шифруется . Любой, кто находится между ними (ваш интернет-провайдер, сетевой администратор или злоумышленник в открытой сети Wi-Fi), увидит только зашифрованные данные, а не содержимое того, что вы отправляете или получаете.

Однако, как только ваши данные покидают VPN-сервер и достигают посещаемого вами веб-сайта, они больше не защищены этим туннелем. От VPN до веб-сайта ваше соединение ведет себя так же, как и у любого другого пользователя : защита (или ее отсутствие) зависит от того, использует ли веб-сайт HTTPS, как настроен сервер и от других факторов.

Именно поэтому часто говорят, что VPN защищает сегмент «ваше устройство ↔ VPN-сервер» , но не имеет прямого контроля над тем, что передается от VPN-сервера к целевому веб-серверу. Этот последний сегмент является ключевым для понимания того, безопасно ли передаются ваши данные.

Различия между VPN и HTTPS: два разных уровня защиты.

Понятия VPN и HTTPS часто путают, считая их одним и тем же, но это разные технологии, работающие на разных уровнях . Обе шифруют данные, да, но не одинаковым способом и не на одном и том же этапе передачи. Обратитесь к нашему руководству по безопасности веб-браузеров.

HTTPS — это расширение HTTP, использующее шифрование TLS/SSL. Когда вы видите значок замка в адресной строке, это означает, что между вашим браузером и веб-сервером установлено сквозное шифрование . Никто между ними (включая вашего интернет-провайдера или сам VPN) не может видеть точное содержимое страниц, ваши пароли или любые данные, которые вы отправляете на этот сайт.

VPN, с другой стороны, шифрует трафик между вашим устройством и своим собственным сервером , но не определяет, как этот сервер затем взаимодействует с веб-сайтом. Если веб-сайт использует HTTPS корректно, соединение между VPN-сервером и веб-сайтом также шифруется. Если веб-сайт использует только HTTP (без 's'), то шифруется именно эта часть соединения.

Проще говоря: VPN обеспечивает «путь к интернету », а HTTPS — прямое соединение между вашим браузером и веб-сайтом, к которому вы подключаетесь. Это взаимодополняющие уровни, а не замена.

Когда все настроено правильно (VPN + HTTPS), у вас двойная защита: ваш интернет-провайдер не может видеть контент благодаря VPN, а сам VPN не может видеть зашифрованный HTTPS-контент . Но когда один из этих уровней отсутствует (например, когда веб-сайт не использует HTTPS), ситуация значительно меняется.

Что произойдет, если вы зайдете на веб-сайт без протокола HTTPS, используя VPN?

Рассмотрим описанный вами сценарий: вы заходите на сайт без HTTPS, ваш браузер выдает предупреждение, и вы решаете использовать VPN, потому что кто-то сказал вам, что это «безопасно». В этом случае ваш VPN защищает вас только от определенных рисков, а не от всех.

От вашего устройства до VPN-сервера всё шифруется благодаря VPN . Ваш интернет-провайдер, владелец сети Wi-Fi или находящийся поблизости злоумышленник не смогут точно определить, какие веб-сайты вы посещаете или какие данные вводите (хотя они могут сделать некоторые выводы о характере трафика, но не о его подробном содержании).

Однако соединение от VPN-сервера к веб-сайту без HTTPS осуществляется по протоколу HTTP, то есть в виде незашифрованного открытого текста . На этом участке любой, кто может отслеживать трафик между VPN-сервером и веб-сервером (например, в промежуточных сетях или у самого поставщика веб-сайта), может просмотреть контент.

На практике меняется лишь местонахождение уязвимого участка . Без VPN незащищенная часть соединения простирается от вашего устройства до веб-сайта. С VPN этот незащищенный сегмент перемещается в зону «VPN-сервер ↔ веб-сайт», но он все равно существует, пока веб-сайт не использует HTTPS.

Кроме того, важно помнить, что при отсутствии HTTPS веб-сайт получает ваши данные в открытом виде . Это означает, что все, что вы отправляете (имена пользователей, пароли, данные форм, личные данные), поступает на сервер сайта в незашифрованном виде и, следовательно, может быть перехвачено или сохранено небезопасным образом.

Что защищает VPN, если страница не использует HTTPS?

Несмотря на свои ограничения, VPN предлагает ряд полезных преимуществ, даже при просмотре веб-сайтов без HTTPS. Первое важное преимущество — это скрытие вашего реального IP-адреса . Сайт, который вы посещаете, не видит ваш IP-адрес, а видит IP-адрес VPN-сервера.

Это означает, что веб-сайт (и любая третья сторона, имеющая доступ к его журналам) не может легко связать вашу активность с вашим домашним интернет-соединением или вашим точным местоположением . Для многих людей этот базовый уровень анонимности уже очень важен, особенно при посещении веб-сайтов, где они предпочитают не указывать свой реальный IP-адрес.

Ещё одно преимущество VPN заключается в защите ближайшей к вам области, где наиболее распространены повседневные риски: он не позволяет вашему интернет-провайдеру точно видеть, какие сайты вы посещаете и что происходит на них (даже если он может определить, что вы используете VPN). Он также защищает от посторонних глаз в общедоступных сетях, например, от классических злоумышленников, атакующих Wi-Fi в аэропортах или отелях.

Подводя итог: VPN защищает вас от находящихся поблизости шпионов (интернет-провайдера, сетевого администратора, локальных злоумышленников) и скрывает ваш IP-адрес от интернета , но он не превращает волшебным образом небезопасный веб-сайт в безопасную среду для ввода конфиденциальных данных.

Что VPN НЕ МОЖЕТ сделать на веб-сайте без HTTPS.

Наибольшую путаницу вызывает вопрос о том, чего VPN не может делать. VPN не шифрует автоматически соединение между VPN-сервером и веб-сайтом, если этот веб-сайт не использует HTTPS. Этот сегмент останется уязвимым для перехвата данных злоумышленниками, находящимися рядом с сервером веб-сайта или в промежуточной инфраструктуре.

VPN также не может предотвратить просмотр и сохранение веб-сайтом данных, которые вы ему отправляете в открытом виде . Если вы вводите свое имя пользователя и пароль на HTTP-странице, веб-сайт получает эти учетные данные в том виде, в котором они есть, без защиты. Если страница имеет уязвимость в системе безопасности, скомпрометирована или администратор ненадлежащим образом управляет этими данными, ваши учетные данные могут быть скомпрометированы.

Ещё одно важное ограничение: VPN по своей сути не защищает от вредоносных сайтов . Если страница представляет собой фишинговую аферу, пытающуюся обманом заставить вас ввести данные или загрузить вредоносное ПО, VPN не предотвратит попадание в ловушку. Вы можете оставаться «анонимным» благодаря IP-адресу VPN, но всё равно будете уязвимы для обмана.

Кроме того, важно помнить, что ваш VPN-провайдер, в зависимости от своей политики ведения журналов и юрисдикции, может видеть метаданные о вашей активности (какие домены вы посещаете, когда, какой объем трафика генерируете и т. д.). На сайтах без HTTPS они технически могут даже видеть контент, если перехватывают трафик от VPN к сайту, поэтому доверие к провайдеру — еще один ключевой фактор.

Наконец, VPN не решает таких проблем, как уязвимости операционной системы, вредоносное ПО на вашем устройстве или недостаточные базовые меры безопасности . Если ваш компьютер заражен, использование VPN практически не имеет значения: вредоносная программа может прочитать то, что вы набираете, до того, как это будет зашифровано. Чтобы снизить этот риск, используйте программное обеспечение для кибербезопасности.

Итак, кто же прав насчет защиты с помощью VPN?

Возвращаясь к полученным вами мнениям, в обоих случаях есть доля правды, но здесь есть нюансы. Тот, кто сказал вам, что VPN защищает только от вашего устройства до VPN-серверов, прав в отношении шифрования трафика : именно в этой области VPN обеспечивает передачу данных в зашифрованном виде.

Однако, когда речь идёт об идентификации и конфиденциальности, такой подход оказывается несостоятельным. VPN также влияет на то, как веб-сайты воспринимают вас, поскольку они определяют IP-адрес VPN-сервера, а не ваш собственный . В этом смысле ваша личность действительно защищена на протяжении всего соединения, даже в незашифрованной части HTTPS.

С другой стороны, те, кто утверждает, что «VPN защищает вас независимо от способа передачи информации», слишком упрощают ситуацию, и это может ввести в заблуждение . Если страница не использует HTTPS, информация НЕ шифруется сквозным шифрованием, и часть соединения остается уязвимой.

Наиболее точное объяснение будет таким: VPN защищает ваше соединение от определенных сторон (интернет-провайдера, локальной сети, некоторых промежуточных наблюдателей) и скрывает ваш IP-адрес, но он не заменяет шифрование HTTPS между вашим браузером и веб-сайтом . Без HTTPS этот последний этап никогда не будет полностью безопасным.

Поэтому в конкретном случае с той страницей, которая предупреждает о том, что больше не использует HTTPS, простое использование VPN не делает ввод паролей или конфиденциальных данных полностью безопасным . Это может улучшить вашу конфиденциальность и снизить определенные риски, но не устраняет основную проблему: веб-сайт не предлагает сквозное шифрование.

Практические риски использования веб-сайтов без HTTPS даже с VPN.

Помимо теории, важно понимать конкретные риски, которым вы подвергаетесь, продолжая использовать веб-сайт без HTTPS, даже с VPN. Первый риск — кража учетных данных или личной информации в незашифрованных разделах . Если кто-то получит доступ к трафику между VPN и веб-сайтом, он сможет прочитать то, что вы отправляете.

Это также увеличивает вероятность атак типа «человек посередине» между VPN и сервером веб-сайта. Без HTTPS отсутствует надежная проверка того, что вы общаетесь с легитимным сервером , что открывает злоумышленнику возможность выдать себя за веб-сайт.

Ещё одна проблема заключается в том, что целостность данных не гарантируется . При использовании HTTPS, если кто-то изменяет контент в процессе передачи, браузер это обнаруживает. Без HTTPS злоумышленник может внедрить вредоносный код на страницу, загружаемую из интернета, даже если вы используете VPN, не подозревая об этом.

Кроме того, ваша активность в интернете может подвергаться тщательному анализу со стороны сервера веб-сайта или посредников на заключительном этапе. Использование VPN не предотвращает передачу контента в незашифрованном виде на незащищенный сервер , поэтому ваша конфиденциальность частично остается под угрозой.

Наконец, многие веб-сайты, которые потеряли или отключили HTTPS, часто плохо поддерживаются или используют устаревшие технологии . Это увеличивает риск других серьезных уязвимостей и вероятность того, что ваши данные могут быть скомпрометированы в результате атаки на сам сервер, чего VPN предотвратить не может.

Рекомендации по использованию VPN на небезопасных сайтах

Учитывая все вышесказанное, в идеале следует использовать VPN в качестве дополнительного уровня защиты, но при этом необходимо проявлять здравый смысл при посещении небезопасных веб-сайтов. Первая рекомендация проста: избегайте входа в систему или ввода конфиденциальных данных на страницах без HTTPS , даже если вы используете VPN.

Если по какой-либо причине у вас нет альтернативы (например, устаревший сервис, работающий только таким образом), рассмотрите возможность создания отдельных учетных данных и не используйте тот же пароль, что и на других сайтах. Таким образом, в случае компрометации ваших учетных данных ущерб будет менее значительным.

Ещё один полезный совет — всегда проверять предупреждения браузера . Если ваш современный браузер предупреждает о том, что страница небезопасна или сертификат недействителен, отнеситесь к этому серьёзно. VPN не отменяет эти предупреждения, и лучше всего выйти из системы, если сайт кажется ненадёжным.

Также разумно выбрать VPN-провайдера с хорошей репутацией, четкой политикой отсутствия журналов активности и надежным шифрованием . Если вы собираетесь переложить доверие со своего интернет-провайдера на VPN, по крайней мере, убедитесь, что это авторитетная и прозрачная компания; или рассмотрите расширенные варианты VPN с самостоятельным размещением.

Наконец, регулярно обновляйте свою систему, используйте хороший браузер и, по возможности, включайте такие функции, как HTTPS-Only или расширения, которые принудительно используют HTTPS, если страница это позволяет. Хотя это не решит проблемы, когда сайт вообще не предлагает HTTPS, это поможет свести к минимуму непреднамеренные небезопасные соединения.

Исходя из всего вышесказанного, становится ясно, что VPN — очень полезный инструмент для повышения конфиденциальности и безопасности вашего соединения, но он не заменяет HTTPS и не устраняет уязвимости плохо защищенного веб-сайта . Фраза «VPN защищает всё» далека от технической реальности: он защищает вас от определенных злоумышленников, скрывает ваш IP-адрес и повышает безопасность просмотра веб-страниц, но если веб-сайт перестал использовать HTTPS, у вас всё равно останется уязвимое место на заключительном этапе соединения и при взаимодействии с сервером этого веб-сайта. Поэтому решение доверить свои данные VPN должно основываться на этом риске, а не на ложном чувстве неуязвимости, которое иногда приписывают VPN.