- Ett VPN krypterar endast trafik mellan din enhet och dess servrar och döljer din IP-adress, men det ersätter inte HTTPS-kryptering mellan din webbläsare och webben.
- Om en sida inte använder HTTPS förblir VPN-servern ↔ webben tydlig HTTP och dina data kan avlyssnas eller ändras.
- Ett VPN förbättrar din integritet från din internetleverantör och offentliga nätverk, men det förhindrar inte riskerna med osäkra eller skadliga webbplatser eller åtgärdar deras brister.
- Det säkraste alternativet är att kombinera VPN med HTTPS och undvika att skicka känslig information på webbplatser som webbläsaren markerar som osäkra.
När någon säger åt dig att "använd ett VPN så är du klar" är verkligheten mycket mer komplex. Ett VPN är inte en magisk kula som löser alla säkerhetsproblem , särskilt när du besöker webbplatser som inte använder HTTPS eller är felkonfigurerade. Att förstå begränsningarna för detta skydd är nyckeln till att undvika en falsk känsla av säkerhet när du surfar.
Tänk dig den här mycket vanliga situationen: du besöker en webbplats som du har använt i flera år, och plötsligt varnar din webbläsare dig för att den inte längre har säkerhetshänglåset och inte använder HTTPS . Någon säger att om du ansluter via ett VPN "kommer ingenting att hända" eftersom din information färdas säkert. Andra säger dock att VPN bara skyddar dina data upp till sina servrar, men inte från webbplatsen till VPN:et. Vem har rätt, och vad händer exakt med dina data under den resan?
Vad är egentligen ett VPN och vilken del av anslutningen skyddar det?
Innan vi går in på komplexiteten kring HTTPS och osäkra webbplatser är det värt att klargöra vad ett VPN gör rent tekniskt. Ett VPN skapar en krypterad tunnel mellan din enhet och VPN:ns servrar . Allt som lämnar din telefon, dator eller surfplatta och går ut på internet passerar först genom denna tunnel.
Det betyder att trafiken krypteras från din internetåtkomstpunkt (ditt hem-Wi-Fi, ditt arbetsnätverk eller ett offentligt Wi-Fi i en bar) till VPN-servern. Alla däremellan (din internetleverantör, nätverksadministratör eller en angripare på ett öppet Wi-Fi-nätverk) kommer bara att se krypterad data, inte innehållet i det du skickar eller tar emot.
Men när dina data lämnar VPN-servern och når webbplatsen du besöker är de inte längre skyddade av den tunneln. Från VPN till webbplatsen beter sig din anslutning som vilken annan användares som helst : skydd (eller brist på det) beror på om webbplatsen använder HTTPS, hur servern är konfigurerad och andra faktorer.
Det är därför det ofta sägs att ett VPN skyddar segmentet "din enhet ↔ VPN-server" , men det har inte direkt kontroll över vad som passerar från VPN-servern till destinationswebbservern. Det sista segmentet är nyckeln till att förstå om dina data överförs säkert eller inte.
Skillnader mellan VPN och HTTPS: två distinkta skyddslager
Begreppen VPN och HTTPS förväxlas ofta som om de vore samma sak, men de är separata tekniker som fungerar på olika nivåer . Båda krypterar data, visserligen, men inte på samma sätt eller vid samma tidpunkt i överföringsprocessen. Se vår säkerhetsguide för webbläsare.
HTTPS är en utökning av HTTP som använder TLS/SSL-kryptering. När du ser hänglåset i adressfältet betyder det att det finns end-to-end-kryptering mellan din webbläsare och webbservern . Ingen däremellan (inklusive din internetleverantör eller VPN-tjänsten) kan se det exakta innehållet på sidorna, dina lösenord eller någon data du skickar till webbplatsen.
Ett VPN, å andra sidan, krypterar trafiken mellan din enhet och sin egen server , men det definierar inte hur servern sedan kommunicerar med webbplatsen. Om webbplatsen använder HTTPS korrekt är även anslutningen mellan VPN-servern och webbplatsen krypterad. Om webbplatsen bara använder HTTP (utan 's') är den delen av anslutningen krypterad.
Enkelt uttryckt: ett VPN hanterar "vägen till internet ", medan HTTPS hanterar den direkta anslutningen mellan din webbläsare och webbplatsen du ansluter till. De är kompletterande lager, inte ersättningar.
När allt är korrekt konfigurerat (VPN + HTTPS) har du dubbelt skydd: din internetleverantör kan inte se innehållet tack vare VPN:et, och VPN:et självt kan inte se det krypterade HTTPS-innehållet . Men när ett av dessa lager saknas (till exempel när webbplatsen inte använder HTTPS) förändras situationen avsevärt.
Vad händer när du besöker en webbplats utan HTTPS med hjälp av ett VPN?
Låt oss betrakta scenariot du beskrev: du besöker en webbplats utan HTTPS, din webbläsare visar en varning och du bestämmer dig för att använda ett VPN eftersom någon sa att det är "säkert". I det här fallet skyddar ditt VPN dig bara från vissa risker, inte alla.
Från din enhet till VPN-servern är allt krypterat tack vare VPN:et . Din internetleverantör, ägaren av Wi-Fi-nätverket eller en angripare i närheten kan inte läsa exakt vilken webbplats du besöker eller vilken data du anger (även om de kan utläsa vissa trafikmönster, men inte det detaljerade innehållet).
Från VPN-servern till webbplatsen utan HTTPS är dock anslutningen ren HTTP, vilket betyder okrypterad klartext . I det segmentet kan vem som helst som kan övervaka trafiken mellan VPN-servern och webbservern (till exempel på mellanliggande nätverk eller hos webbplatsleverantören själv) se innehållet.
I praktiken förändras det var den sårbara punkten ligger . Utan ett VPN sträcker sig den osäkra delen av anslutningen från din enhet till webbplatsen. Med ett VPN flyttas det osäkra segmentet till zonen "VPN-server ↔ webbplats", men det finns fortfarande kvar så länge webbplatsen inte använder HTTPS.
Dessutom är det viktigt att komma ihåg att genom att inte använda HTTPS tar värdwebbplatsen emot dina uppgifter i klartext . Det betyder att allt du skickar (användarnamn, lösenord, formulär, personuppgifter) anländer okrypterat till webbplatsens server och därför kan avlyssnas eller lagras osäkert.
Vad skyddar ett VPN när en sida inte har HTTPS?
Trots sina begränsningar erbjuder ett VPN vissa användbara fördelar, även när man surfar på webbplatser utan HTTPS. Den första stora fördelen är att dölja din riktiga IP-adress . Webbplatsen du besöker ser inte din IP-adress, utan snarare VPN-serverns.
Det här innebär att webbplatsen (och alla tredje parter med tillgång till dess loggar) inte enkelt kan koppla din aktivitet till din internetanslutning i hemmet eller din exakta plats. För många är detta grundläggande lager av anonymitet redan mycket viktigt, särskilt när de besöker webbplatser där de föredrar att inte ange sin riktiga IP-adress.
En annan sak som ett VPN skyddar är området närmast dig, där vardagliga risker är vanligast: det hindrar din internetleverantör från att se exakt vilka webbplatser du besöker och innehållet i din aktivitet på dem (även om de kan se att du använder ett VPN). Det skyddar också mot nyfikna ögon på offentliga nätverk, som den klassiska angriparen på flygplats- eller hotell-Wi-Fi.
För att sammanfatta detta: ett VPN skyddar dig från spioner i närheten (internetleverantör, nätverksadministratör, lokala angripare) och döljer din IP-adress från webben , men det förvandlar inte magiskt en osäker webbplats till en säker miljö för att mata in känsliga uppgifter.
Vad ett VPN INTE kan göra på en webbplats utan HTTPS
Den största källan till förvirring är vad VPN-tjänster inte kan göra. Ett VPN krypterar inte automatiskt anslutningen mellan VPN-servern och webbplatsen om webbplatsen inte implementerar HTTPS. Det segmentet kommer att förbli sårbart för avlyssnare nära webbplatsens server eller i mellanliggande infrastruktur.
En VPN kan inte heller hindra webbplatsen själv från att se och lagra den data du skickar den i klartext . Om du anger ditt användarnamn och lösenord på en HTTP-sida får webbplatsen dessa inloggningsuppgifter exakt som de är, utan skydd. Om sidan har en säkerhetsbrist, är komprometterad eller om administratören inte hanterar den informationen korrekt kan dina inloggningsuppgifter läcka ut.
En annan viktig begränsning: VPN-tjänster skyddar dig inte av sig själva från skadliga webbplatser . Om en sida är ett nätfiskebedrägeri som försöker lura dig att ange data eller ladda ner skadlig kod, kommer VPN-tjänsten inte att hindra dig från att falla i fällan. Du kan förbli "anonym" tack vare VPN-tjänstens IP-adress, men du kommer fortfarande att vara sårbar för bedrägerier.
Dessutom är det viktigt att komma ihåg att din VPN-leverantör, beroende på dess loggningspolicy och jurisdiktion, kan se metadata om din aktivitet (vilka domäner du besöker, när, hur mycket trafik du genererar osv.). På webbplatser utan HTTPS skulle de tekniskt sett även kunna se innehåll om de fångar upp trafik från VPN:et till webbplatsen, så förtroende för leverantören är en annan viktig faktor.
Slutligen löser inte ett VPN problem som sårbarheter i operativsystemet, skadlig kod på din enhet eller dåliga grundläggande säkerhetsrutiner . Om din dator är infekterad spelar det nästan ingen roll om du använder ett VPN: det skadliga programmet kan läsa vad du skriver innan det krypteras. För att minska denna risk, använd cybersäkerhetsprogramvara.
Så, vem har rätt om VPN-skydd?
Om vi går tillbaka till de åsikter du har fått, så ligger det en del sanning i båda, men det är nyanserat. Den som sa till dig att ett VPN bara skyddar din enhet mot VPN-servrarna har rätt angående trafikkryptering : det är verkligen inom det området där VPN säkerställer att data överförs krypterat.
Den synen är dock otillräcklig när det gäller identitet och integritet. En VPN påverkar också hur webbplatser uppfattar dig, eftersom de upptäcker VPN-serverns IP-adress, inte din egen . I den meningen är din identitet verkligen skyddad genom hela anslutningen, även i den okrypterade HTTPS-delen.
Å andra sidan förenklar de som påstår att "ett VPN skyddar dig oavsett hur informationen skickas" och detta kan vara vilseledande . Om sidan inte använder HTTPS är informationen INTE end-to-end-krypterad, och delar av anslutningen förblir sårbara.
Det mest korrekta sättet att förklara det skulle vara: ett VPN skyddar din anslutning från vissa parter (internetleverantör, lokalt nätverk, vissa mellanliggande observatörer) och döljer din IP-adress, men det ersätter inte HTTPS-kryptering mellan din webbläsare och webbplatsen . Utan HTTPS är den sista delen av resan aldrig helt säker.
Därför, i det specifika fallet med den sidan som varnar dig för att den inte längre använder HTTPS, gör enbart användning av ett VPN det inte helt säkert för att ange lösenord eller känsliga uppgifter. Det kan förbättra din integritet och minska vissa risker, men det eliminerar inte det underliggande problemet: webbplatsen erbjuder inte end-to-end-kryptering.
Praktiska risker med att använda webbplatser utan HTTPS även med ett VPN
Utöver teorin är det viktigt att förstå de specifika risker du tar när du fortsätter att använda en webbplats utan HTTPS, även med ett VPN. Den första är stöld av inloggningsuppgifter eller personuppgifter i de okrypterade avsnitten . Om någon får tillgång till trafiken mellan VPN:et och webbplatsen kan de läsa vad du skickar.
Det ökar också risken för man-in-the-middle-attacker mellan VPN:et och webbplatsens server. Utan HTTPS finns det ingen stark verifiering av att du kommunicerar med den legitima servern , vilket öppnar dörren för en angripare att utge sig för att vara webbplatsen vid den tidpunkten.
Ett annat problem är att dataintegriteten inte garanteras . Med HTTPS, om någon ändrar innehållet mitt i strömmen, upptäcker webbläsaren det. Utan HTTPS kan en angripare injicera skadlig kod på sidan som laddas från webben, även om du använder ett VPN utan att inse det.
Dessutom kan din surfning bli föremål för djupgående inspektion av webbplatsens server eller av mellanhänder i den sista etappen. Att använda ett VPN förhindrar inte att innehåll skickas okrypterat till den osäkra servern , så din integritet förblir delvis äventyrad.
Slutligen är många webbplatser som har förlorat eller inaktiverat HTTPS ofta dåligt underhållna eller föråldrade . Detta ökar risken för andra allvarliga sårbarheter och möjligheten att dina data kan äventyras av en attack mot själva servern, något som en VPN inte kan förhindra.
Bästa praxis när du använder VPN med osäkra webbplatser
Med tanke på allt ovanstående bör du helst använda ett VPN som ett extra skyddslager, men ändå använda sunt förnuft när du besöker osäkra webbplatser. Den första rekommendationen är enkel: undvik att logga in eller ange känsliga uppgifter på sidor utan HTTPS , även om du är bakom ett VPN.
Om du av någon anledning inte har något alternativ (till exempel en äldre tjänst som bara fungerar på det här sättet), överväg att skapa specifika inloggningsuppgifter och inte återanvända samma lösenord som du använder på andra webbplatser. På så sätt blir skadan mindre omfattande om dina inloggningsuppgifter äventyras.
En annan bra vana är att alltid kontrollera din webbläsares varningar . Om din moderna webbläsare varnar dig för att en sida inte är säker eller att certifikatet är ogiltigt, ta det på allvar. Ett VPN åsidosätter inte dessa varningar, och det är bäst att dra sig ur om webbplatsen inte verkar pålitlig.
Det är också klokt att välja en VPN-leverantör med gott rykte, tydliga policyer mot loggar och stark kryptering . Om du ska flytta ditt förtroende från din internetleverantör till ett VPN, se åtminstone till att det är ett välrenommerat och transparent företag; eller överväg avancerade VPN- alternativ med egen host.
Slutligen, håll ditt system uppdaterat, använd en bra webbläsare och aktivera om möjligt funktioner som HTTPS-Only eller tillägg som tvingar fram användning av HTTPS när sidan tillåter det. Även om dessa inte löser fall där webbplatsen inte erbjuder HTTPS alls, hjälper de till att minimera oavsiktliga osäkra anslutningar.
Om man tittar på allt vi har diskuterat är det tydligt att ett VPN är ett mycket användbart verktyg för att förbättra integriteten och säkerheten för din anslutning, men det ersätter inte HTTPS eller åtgärdar sårbarheterna hos en dåligt säker webbplats. Frasen "ett VPN skyddar allt" är långt ifrån den tekniska verkligheten: det skyddar dig från vissa aktörer, döljer din IP-adress och stärker din surfning, men om en webbplats har slutat använda HTTPS kommer du fortfarande att ha en svag punkt i anslutningens slutskede och när du interagerar med webbplatsens server. Därför bör beslutet att anförtro dina data till ett VPN baseras på denna risk, inte på den falska känslan av osårbarhet som ibland tillskrivs VPN:er.