VPNとHTTPSは異なる2つの経路を保護します。

1分でわかる違い

HTTPSでは、ブラウザーが証明書を使ってサイトを認証し、サイトまでセッション全体を暗号化します。そのためローカルネットワーク、インターネットサービスプロバイダー、VPNサーバーはHTTPSの内容を読めませんが、ルーティングに必要なメタデータは観察できる場合があります。

VPNでは、システムが意図した通信をVPNサーバーまで暗号化します。サーバーから通信は宛先へ続きます。HTTPSも使用していればサイトまで暗号化されたままですが、使用していなければVPNサーバー後の部分が自動的にHTTPS保護を得ることはありません。

誰が何を見られるか？

ローカルネットワークには主に、VPNサーバーへの暗号化接続が見えます。VPNプロバイダーには接続を中継するために必要な情報が見えますが、HTTPSによってサイトと交換するコンテンツを読む能力は制限されます。

サイトにはVPNの出口IPアドレスと、共有するすべての情報、つまりログイン済みアカウント、Cookie、フォームデータ、ブラウザー識別子が見えます。HTTPSは転送中のデータを保護しますが、受信者自身から隠すものではありません。

ホテルWi-Fiでの例

VPNが有効な状態でHTTPSを使って銀行サイトを開きます。ホテルWi-Fiにはページの内容は見えず、VPNへの接続が見えます。VPNサーバーが接続を中継しますが、HTTPSによって銀行の内容は銀行まで暗号化されたままです。

ページに証明書警告が表示されたら、VPNが有効だからといって無視しないでください。トンネルがブラウザーに代わってサイトの身元を検証することはありません。

よくある誤解

ブラウザーの南京錠は、サイトが正直だという意味ではありません。主に、そのドメインへの接続が証明書に従って暗号化・認証されていることを示します。フィッシングサイトもHTTPSを使えます。

逆に、HTTPSはサイトから接続のIPアドレスを隠しません。VPNは出口アドレスを変えられますが、アカウントとCookieはサイトに見えたままです。

• VPNを使っていてもHTTPSを使い続ける。
• 原因を理解せずに証明書警告を回避しない。
• VPNアプリまたは拡張機能の範囲を確認する。
• VPNプロバイダーを信頼できる仲介者として扱う。