- VPN, yalnızca cihazınız ve sunucuları arasındaki trafiği şifreler ve IP adresinizi gizler, ancak tarayıcınız ve web arasındaki HTTPS şifrelemesinin yerini almaz.
- Bir sayfa HTTPS kullanmıyorsa, VPN sunucusu ↔ web bağlantısı açık HTTP olarak kalır ve verileriniz ele geçirilebilir veya değiştirilebilir.
- VPN, internet servis sağlayıcınızdan ve genel ağlardan gizliliğinizi artırır, ancak güvenli olmayan veya kötü amaçlı web sitelerinin risklerini önlemez veya kusurlarını gidermez.
- En güvenli seçenek, VPN'i HTTPS ile birleştirmek ve tarayıcının güvenli olmayan siteler olarak işaretlediği sitelere hassas bilgiler göndermekten kaçınmaktır.
Birisi size "VPN kullanın ve her şey tamam" dediğinde, gerçeklik çok daha karmaşıktır. VPN, özellikle HTTPS kullanmayan veya yanlış yapılandırılmış web sitelerini ziyaret ettiğinizde, tüm güvenlik sorunlarını çözen sihirli bir değnek değildir. Bu korumanın sınırlarını anlamak, internette gezinirken yanlış bir güvenlik duygusundan kaçınmanın anahtarıdır.
Şu çok yaygın durumu hayal edin: Yıllardır kullandığınız bir web sitesini ziyaret ediyorsunuz ve aniden tarayıcınız size artık güvenlik kilidi simgesinin olmadığını ve HTTPS kullanmadığını bildiriyor . Birileri size VPN üzerinden bağlanırsanız "hiçbir şey olmayacağını", çünkü bilgilerinizin güvenli bir şekilde iletileceğini söylüyor. Ancak diğerleri, VPN'in verilerinizi yalnızca sunucularına kadar koruduğunu, web sitesinden VPN'e kadar olan kısımda koruma sağlamadığını söylüyor. Kim haklı ve bu yolculuk sırasında verilerinize tam olarak ne oluyor?
VPN tam olarak nedir ve bağlantının hangi bölümünü korur?
HTTPS ve güvensiz web sitelerinin karmaşıklığına girmeden önce, VPN'in teknik olarak ne yaptığını açıklığa kavuşturmakta fayda var. VPN, cihazınız ve VPN sunucuları arasında şifreli bir tünel oluşturur . Telefonunuzdan, bilgisayarınızdan veya tabletinizden internete giden her şey önce bu tünelden geçer.
Bu, internet erişim noktanızdan (ev Wi-Fi'ınız, iş ağınız veya bir barda bulunan halka açık Wi-Fi) VPN sunucusuna kadar olan trafiğin şifrelendiği anlamına gelir . Aradaki herhangi bir kişi (internet sağlayıcınız, ağ yöneticiniz veya açık bir Wi-Fi ağındaki bir saldırgan) yalnızca şifrelenmiş verileri görecek, gönderdiğiniz veya aldığınız içeriği göremeyecektir.
Ancak verileriniz VPN sunucusundan ayrılıp ziyaret ettiğiniz web sitesine ulaştığında, artık o tünel tarafından korunmaz. VPN'den web sitesine kadar bağlantınız diğer kullanıcıların bağlantıları gibi davranır : koruma (veya koruma eksikliği) web sitesinin HTTPS kullanıp kullanmadığına, sunucunun nasıl yapılandırıldığına ve diğer faktörlere bağlıdır.
Bu yüzden genellikle VPN'in "cihazınız ↔ VPN sunucusu" bölümünü koruduğu , ancak VPN sunucusundan hedef web sunucusuna geçen veriler üzerinde doğrudan kontrolü olmadığı söylenir . Bu son bölüm, verilerinizin güvenli bir şekilde iletilip iletilmediğini anlamak için çok önemlidir.
VPN ve HTTPS arasındaki farklar: iki farklı koruma katmanı
VPN ve HTTPS kavramları sıklıkla aynıymış gibi karıştırılır, ancak farklı seviyelerde çalışan ayrı teknolojilerdir . Her ikisi de verileri şifreler, evet, ancak aynı şekilde veya iletim sürecinin aynı noktasında değil. Web tarayıcısı güvenlik kılavuzumuza göz atın.
HTTPS, TLS/SSL şifrelemesi kullanan HTTP'nin bir uzantısıdır. Adres çubuğunda kilit simgesini gördüğünüzde, tarayıcınız ile web sunucusu arasında uçtan uca şifreleme olduğu anlamına gelir . Aradaki hiç kimse (internet sağlayıcınız veya VPN'in kendisi dahil) sayfaların tam içeriğini, şifrelerinizi veya o siteye gönderdiğiniz verileri göremez.
Öte yandan, bir VPN, cihazınız ile kendi sunucusu arasındaki trafiği şifreler , ancak bu sunucunun web sitesiyle nasıl iletişim kuracağını belirlemez. Web sitesi HTTPS'yi doğru şekilde kullanıyorsa, VPN sunucusu ile web sitesi arasındaki bağlantı da şifrelenir. Web sitesi yalnızca HTTP (sondaki 's' olmadan) kullanıyorsa, bağlantının bu kısmı şifrelenir.
Basitçe söylemek gerekirse: VPN, "internet yolunu " yönetirken, HTTPS ise tarayıcınız ile bağlandığınız web sitesi arasındaki doğrudan bağlantıyı sağlar. Bunlar birbirini tamamlayan katmanlardır, birbirinin yerine geçmezler.
Her şey doğru şekilde yapılandırıldığında (VPN + HTTPS), çift korumaya sahip olursunuz: İnternet servis sağlayıcınız VPN sayesinde içeriği göremez ve VPN'in kendisi de şifrelenmiş HTTPS içeriğini göremez . Ancak bu katmanlardan biri eksik olduğunda (örneğin, web sitesi HTTPS kullanmadığında), durum önemli ölçüde değişir.
VPN kullanarak HTTPS'siz bir web sitesine eriştiğinizde ne olur?
Anlattığınız senaryoyu ele alalım: HTTPS'siz bir web sitesini ziyaret ediyorsunuz, tarayıcınız bir uyarı gösteriyor ve birisi size "güvenli" olduğunu söylediği için VPN kullanmaya karar veriyorsunuz. Bu durumda, VPN'iniz sizi yalnızca belirli risklerden korur, tüm risklerden değil.
VPN sayesinde cihazınızdan VPN sunucusuna kadar her şey şifrelenir . İnternet sağlayıcınız, Wi-Fi sahibi veya yakındaki bir saldırgan, hangi web sitesini ziyaret ettiğinizi veya hangi verileri girdiğinizi tam olarak okuyamaz (bazı trafik modellerini çıkarabilirler, ancak ayrıntılı içeriği değil).
Ancak, VPN sunucusundan HTTPS'siz web sitesine olan bağlantı tamamen HTTP üzerinden gerçekleşir; yani şifrelenmemiş düz metin halindedir . Bu bölümde, VPN sunucusu ile web sunucusu arasındaki trafiği izleyebilen herkes (örneğin, aracı ağlarda veya web sitesi sağlayıcısının kendisinde) içeriği görüntüleyebilir.
Pratik açıdan bakıldığında, değişen şey güvenlik açığının nerede olduğudur . VPN olmadan, bağlantının güvensiz kısmı cihazınızdan web sitesine kadar uzanır. VPN ile bu güvensiz bölüm "VPN sunucusu ↔ web sitesi" bölgesine taşınır, ancak web sitesi HTTPS kullanmadığı sürece varlığını sürdürür.
Ayrıca, HTTPS kullanılmadığında, sunucu web sitesinin verilerinizi düz metin olarak aldığını hatırlamak önemlidir . Bu, gönderdiğiniz her şeyin (kullanıcı adları, şifreler, formlar, kişisel veriler) sitenin sunucusuna şifrelenmemiş olarak ulaştığı ve bu nedenle ele geçirilebileceği veya güvenli olmayan bir şekilde saklanabileceği anlamına gelir.
Bir sayfa HTTPS desteğine sahip değilse VPN neyi korur?
Sınırlamalarına rağmen, VPN, HTTPS olmayan web sitelerinde gezinirken bile bazı faydalı avantajlar sunar. En büyük avantajlardan ilki, gerçek IP adresinizi gizlemesidir . Ziyaret ettiğiniz site sizin IP adresinizi değil, VPN sunucusunun IP adresini görür.
Bu, web sitesinin (ve kayıtlarına erişimi olan herhangi bir üçüncü tarafın) etkinliğinizi ev internet bağlantınızla veya tam konumunuzla kolayca ilişkilendiremeyeceği anlamına gelir . Birçok insan için, özellikle gerçek IP adreslerini belirtmek istemedikleri web sitelerine erişirken, bu temel anonimlik katmanı zaten çok önemlidir.
VPN'in koruduğu bir diğer şey ise, günlük risklerin en yaygın olduğu size en yakın alandır: İnternet sağlayıcınızın hangi web sitelerini ziyaret ettiğinizi ve bu sitelerdeki etkinliklerinizin içeriğini tam olarak görmesini engeller (VPN kullandığınızı anlayabilseler bile). Ayrıca, havaalanı veya otel Wi-Fi ağlarındaki klasik saldırganlar gibi halka açık ağlardaki meraklı gözlere karşı da koruma sağlar.
Özetlemek gerekirse: VPN sizi yakındaki casuslardan (İnternet servis sağlayıcısı, ağ yöneticisi, yerel saldırganlar) korur ve IP adresinizi internetten gizler , ancak güvensiz bir web sitesini hassas verilerin girilebileceği güvenli bir ortama sihirli bir şekilde dönüştürmez.
HTTPS desteği olmayan bir web sitesinde VPN'in yapamayacağı şeyler
En büyük kafa karışıklığı kaynağı, VPN'lerin yapamadığı şeylerdir. Bir VPN , eğer web sitesi HTTPS kullanmıyorsa, VPN sunucusu ile web sitesi arasındaki bağlantıyı otomatik olarak şifrelemez . Bu bölüm, web sitesinin sunucusuna yakın veya ara altyapıda bulunan dinleyicilere karşı savunmasız kalacaktır.
VPN, web sitesinin gönderdiğiniz verileri düz metin olarak görmesini ve saklamasını da engelleyemez . Bir HTTP sayfasında kullanıcı adınızı ve şifrenizi girerseniz, web sitesi bu kimlik bilgilerini koruma olmadan olduğu gibi alır. Sayfada bir güvenlik açığı varsa, tehlikeye girmişse veya yönetici bu verileri düzgün yönetmiyorsa, kimlik bilgileriniz sızdırılabilir.
Bir diğer önemli sınırlama: VPN'ler, tasarımları gereği sizi kötü amaçlı web sitelerinden korumaz . Eğer bir sayfa kimlik avı dolandırıcılığıysa ve sizi veri girmeye veya kötü amaçlı yazılım indirmeye kandırmaya çalışıyorsa, VPN tuzağa düşmenizi engelleyemez. VPN'in IP adresi sayesinde "anonim" kalabilirsiniz, ancak yine de aldatmaya karşı savunmasız kalırsınız.
Ayrıca, VPN sağlayıcınızın, kayıt politikasına ve yetki alanına bağlı olarak, faaliyetlerinizle ilgili meta verileri (hangi alan adlarını ziyaret ettiğiniz, ne zaman, ne kadar trafik oluşturduğunuz vb.) görebileceğini unutmamak önemlidir . HTTPS'siz web sitelerinde, VPN'den web sitesine gelen trafiği ele geçirirlerse teknik olarak içeriği bile görebilirler; bu nedenle sağlayıcıya duyulan güven de önemli bir faktördür.
Son olarak, VPN işletim sistemi güvenlik açıkları, cihazınızdaki kötü amaçlı yazılımlar veya yetersiz temel güvenlik uygulamaları gibi sorunları çözmez . Bilgisayarınız virüs bulaşmışsa, VPN kullanmanızın neredeyse hiçbir farkı yoktur: kötü amaçlı yazılım, şifrelenmeden önce yazdıklarınızı okuyabilir. Bu riski azaltmak için siber güvenlik yazılımı kullanın.
Peki, VPN koruması konusunda kim haklı?
Aldığınız görüşlere dönecek olursak, her ikisinde de doğruluk payı var, ancak ince ayrıntılar söz konusu. Size VPN'in yalnızca cihazınızdan VPN sunucularına kadar olan trafiği koruduğunu söyleyen kişi, trafik şifrelemesi konusunda haklı : VPN, verilerin şifrelenmiş olarak iletilmesini gerçekten de bu alanda sağlıyor.
Ancak, bu görüş kimlik ve gizlilik söz konusu olduğunda yetersiz kalıyor. VPN, web sitelerinin sizi nasıl algıladığını da etkiler, çünkü siteler sizin IP adresinizi değil, VPN sunucusunun IP adresini algılar . Bu anlamda, kimliğiniz şifrelenmemiş HTTPS bölümünde bile tüm bağlantı boyunca korunmaktadır.
Öte yandan, "VPN, bilginin nasıl gönderildiğine bakılmaksızın sizi korur" diyenler konuyu basitleştiriyor ve bu yanıltıcı olabilir . Eğer sayfa HTTPS kullanmıyorsa, bilgi uçtan uca şifrelenmez ve bağlantının bazı kısımları savunmasız kalır.
Bunu açıklamanın en doğru yolu şu olurdu: VPN, bağlantınızı belirli taraflardan (İnternet servis sağlayıcısı, yerel ağ, bazı aracı gözlemciler) korur ve IP adresinizi gizler, ancak tarayıcınız ile web sitesi arasındaki HTTPS şifrelemesinin yerini almaz . HTTPS olmadan, yolculuğun bu son kısmı asla tam olarak güvenli olmaz.
Dolayısıyla, HTTPS'yi artık kullanmadığı konusunda sizi uyaran o sayfa özelinde, yalnızca VPN kullanmak, şifrelerinizi veya hassas verilerinizi girerken tamamen güvenli hale getirmez . Gizliliğinizi artırabilir ve belirli riskleri azaltabilir, ancak altta yatan sorunu ortadan kaldırmaz: web sitesi uçtan uca şifreleme sunmuyor.
VPN kullanırken bile HTTPS'siz web sitelerini kullanmanın pratik riskleri
Teorinin ötesinde, VPN kullanıyor olsanız bile HTTPS'siz bir web sitesini kullanmaya devam ettiğinizde aldığınız belirli riskleri anlamak önemlidir. Bunlardan ilki, şifrelenmemiş bölümlerdeki kimlik bilgilerinin veya kişisel verilerin çalınmasıdır . Birisi VPN ile web sitesi arasındaki trafiğe erişim sağlarsa, gönderdiklerinizi okuyabilir.
Ayrıca, VPN ile web sitesi sunucusu arasında ortadaki adam saldırıları olasılığını da artırır. HTTPS olmadan, meşru sunucuyla iletişim kurduğunuza dair güçlü bir doğrulama olmaz ; bu da saldırganın o noktada web sitesini taklit etmesine olanak tanır.
Bir diğer sorun da veri bütünlüğünün garanti edilmemesidir . HTTPS ile, birisi içeriği akış sırasında değiştirirse, tarayıcı bunu algılar. HTTPS olmadan, bir saldırgan, farkında olmadan VPN kullanıyor olsanız bile, web'den yüklenen sayfaya kötü amaçlı kod enjekte edebilir.
Ayrıca, internet gezintiniz web sitesinin sunucusu veya bu son aşamadaki aracı kuruluşlar tarafından derinlemesine incelenebilir. VPN kullanmak, içeriğin şifrelenmemiş olarak güvenli olmayan sunucuya ulaşmasını engellemez , bu nedenle gizliliğiniz kısmen tehlikeye girer.
Son olarak, HTTPS'yi kaybetmiş veya devre dışı bırakmış birçok web sitesi genellikle bakımsızdır veya güncel değildir . Bu durum, diğer ciddi güvenlik açıklarının riskini ve verilerinizin sunucuya yönelik bir saldırı sonucu tehlikeye girmesi olasılığını artırır; VPN bunu engelleyemez.
Güvenli olmayan web siteleriyle VPN kullanırken en iyi uygulamalar
Yukarıda belirtilenlerin tümü göz önüne alındığında, ideal olarak ek bir koruma katmanı olarak VPN kullanmalısınız, ancak güvenli olmayan web sitelerini ziyaret ederken yine de sağduyulu davranmalısınız. İlk öneri basittir: VPN kullanıyor olsanız bile, HTTPS olmayan sayfalarda oturum açmaktan veya hassas veriler girmekten kaçının .
Eğer herhangi bir nedenle başka bir alternatifiniz yoksa (örneğin, sadece bu şekilde çalışan eski bir hizmet), özel kimlik bilgileri oluşturmayı ve diğer sitelerde kullandığınız aynı şifreyi tekrar kullanmamayı düşünün. Bu şekilde, kimlik bilgileriniz ele geçirilirse, hasar daha az kapsamlı olacaktır.
Bir diğer iyi uygulama da tarayıcınızın uyarılarını her zaman kontrol etmektir . Modern tarayıcınız bir sayfanın güvenli olmadığını veya sertifikanın geçersiz olduğunu bildiriyorsa, bunu ciddiye alın. VPN bu uyarıları geçersiz kılmaz ve site güvenilir görünmüyorsa geri çekilmek en iyisidir.
Ayrıca , iyi bir üne sahip, kayıt tutmama konusunda net politikaları olan ve güçlü şifreleme kullanan bir VPN sağlayıcısı seçmek de akıllıca olacaktır . Güveninizi internet servis sağlayıcınızdan bir VPN'e kaydıracaksanız, en azından saygın ve şeffaf bir şirket olduğundan emin olun; veya gelişmiş, kendi sunucunuzda barındırabileceğiniz VPN seçeneklerini değerlendirin.
Son olarak, sisteminizi güncel tutun, iyi bir tarayıcı kullanın ve mümkünse HTTPS-Only gibi özellikleri veya sayfa izin verdiğinde HTTPS kullanımını zorlayan uzantıları etkinleştirin . Bunlar, sitenin hiç HTTPS sunmadığı durumları çözmese de, kasıtlı olmayan güvensiz bağlantıları en aza indirmeye yardımcı olurlar.
Tartıştığımız her şeye baktığımızda, VPN'in bağlantınızın gizliliğini ve güvenliğini artırmak için çok kullanışlı bir araç olduğu açık, ancak HTTPS'nin yerini almıyor veya kötü güvenlik önlemlerine sahip bir web sitesinin güvenlik açıklarını gidermiyor . "VPN her şeyi korur" ifadesi teknik gerçekliğin çok gerisinde kalıyor: sizi belirli aktörlerden koruyor, IP adresinizi gizliyor ve taramanızı güçlendiriyor, ancak bir web sitesi HTTPS kullanmayı bıraktıysa, bağlantının son aşamasında ve o web sitesinin sunucusuyla etkileşimde bulunurken hala bir zayıf noktanız olacaktır. Bu nedenle, verilerinizi bir VPN'e emanet etme kararı, bazen VPN'lere atfedilen yanlış dokunulmazlık duygusuna değil, bu riske dayanmalıdır.