La differenza in un minuto
Con HTTPS, il browser autentica il sito usando un certificato e cifra la sessione fino a quel sito. La rete locale, il provider Internet e il server VPN non possono quindi leggere il contenuto HTTPS, anche se possono osservare i metadati necessari all'instradamento.
Con una VPN, il sistema cifra il traffico previsto fino al server VPN. Da quel server, il traffico prosegue verso la destinazione. Se utilizza anche HTTPS, rimane cifrato fino al sito; in caso contrario, la parte successiva al server VPN non acquisisce magicamente la protezione HTTPS.
| Domanda | VPN | HTTPS |
|---|---|---|
| Inizia da | Dispositivo o app VPN | Browser o applicazione |
| Termina a | Server VPN | Sito o servizio |
| Indirizzo IP visto dal sito | Server di uscita | Non lo cambia |
| Protegge dai siti falsi | No | Il certificato aiuta, senza impedire il phishing |
Fonti e riferimenti
Chi può vedere cosa?
La rete locale vede principalmente una connessione cifrata al server VPN. Il provider VPN vede le informazioni necessarie a inoltrare la connessione, ma HTTPS limita la sua possibilità di leggere il contenuto scambiato con il sito.
Il sito vede l'IP di uscita della VPN e tutto ciò che condividi con esso: account con accesso effettuato, cookie, dati dei moduli e identificativi del browser. HTTPS protegge questi dati durante il transito, non dal destinatario stesso.
Esempio su Wi-Fi di un hotel
Apri la tua banca tramite HTTPS mentre la VPN è attiva. Il Wi-Fi dell'hotel non può vedere il contenuto della pagina; vede una connessione alla VPN. Il server VPN inoltra la connessione, ma HTTPS mantiene cifrati i dati bancari fino alla banca.
Se una pagina mostra un avviso del certificato, non ignorarlo solo perché la VPN è attiva. Il tunnel non convalida l'identità del sito al posto del browser.
Fraintendimenti comuni
Il lucchetto nel browser non significa che un sito sia affidabile: significa soprattutto che la connessione a quel dominio è cifrata e autenticata secondo il certificato. Anche un sito di phishing può usare HTTPS.
Al contrario, HTTPS non nasconde al sito l'indirizzo IP della tua connessione. Una VPN può cambiare l'indirizzo di uscita, ma account e cookie rimangono visibili al sito.
- Continua a usare HTTPS anche con una VPN.
- Non ignorare mai un avviso del certificato senza comprenderne la causa.
- Controlla l'ambito dell'app VPN o dell'estensione.
- Considera il provider VPN un intermediario fidato.