VPN - Man-in-the-middle при подключении к службе https?
Выбирая готовую услугу VPN, безопасно ли получить доступ к моим учетным записям Gmail, Paypal, ...?
Доступ к учетным записям осуществляется через https, но я не знаю, есть ли в VPN один защищенный канал между моим компьютером и сервером https или два, т. Е. [Me] <-> [vpn server] <-> [https server ]
Если это последний случай, может ли администратор VPN видеть незашифрованный трафик между мной и сервером https?
4 ответа
HTTP-соединения действительно могут быть правильно установлены только между клиентом и сервером https.
Если администратор VPN сможет расшифровать трафик, он должен иметь действительный SSL-сертификат, предположительно принадлежащий домену сервера, с закрытым ключом, действительным для сертификата. Это не должно быть возможным, если корневые центры сертификации, включенные в вашем браузере, безопасны. Чтобы быть уверенным в этом, обновляйте свой браузер.
Если бы посредник использовал последний метод, который вы упомянули без этого, ваш браузер пожаловался бы на недействительный сертификат.
При использовании HTTP /TLS/SSL трафик сайта шифруется между вашим браузером (или приложением, инициирующим соединение) и веб-сервером, который предоставляет вам страницы. Это означает, что если какой-либо посредник попытается "прослушать" ваши запросы / ответы, он увидит только зашифрованный трафик.
Эта модель шифрования одинакова независимо от того, используете ли вы VPN или стандартное подключение к Интернету.
Как и другие говорили, как правило, это будет безопасно. Но я добавлю это просто для полноты, так как никто другой не упомянул об этом.
Если для рассматриваемой службы vpn также требуется прокси-сервер, возможно, что прокси-сервер использует доверенный ssl-сертификат, чтобы вставить себя в середину этого взаимодействия. Но для этого потребуется, чтобы ваш компьютер доверял ЦС прокси (центра сертификации). Это потребует установки сертификата CA прокси-сервера службы VPN в браузере. Это также можно сделать с помощью групповой политики в домене Windows. Таким образом, если вы говорите о сторонней службе, так как ее настройка не включает в себя этап доверия ЦС ни в вашем браузере, ни в наборе ключей ЦС вашей ОС, тогда ваш трафик в безопасности. Имейте в виду, что для этого есть несколько законных причин, как это обычно делается, чтобы поток данных можно было сканировать средствами предотвращения вторжений и антивирусными / вредоносными программами.
Но запрос https в такой ситуации будет выглядеть следующим образом.
[me]<->[vpn server]<---->[proxy]<-->[website]
| |
proxy spoofed ssl cert website ssl cert
Таким образом, все между [мной] и [прокси-сервером] защищено с использованием поддельного сертификата, подписанного доверенным центром сертификации прокси-сервера, а все, что находится между [прокси-сервером] и веб-сайтом, использует оригинальный сертификат веб-сайта. Так что в этом случае есть возможность доступа к незашифрованным данным на прокси.
Единственным безопасным вариантом будет использование реального VPN. OpenVPN - один из лучших приложений, работающих на всех операционных системах. Последние пару лет я использую Road Warrior VPN в качестве своего VPN-провайдера. Причина, по которой я говорю, чтобы использовать реальный VPN, такой как OpenVPN, заключается в том, что невозможно заставить кого-то атаковать вас "посередине".