Różnica w minutę
W przypadku HTTPS przeglądarka uwierzytelnia witrynę za pomocą certyfikatu i szyfruje sesję aż do tej witryny. Sieć lokalna, dostawca internetu i serwer VPN nie mogą wtedy odczytać treści HTTPS, choć mogą obserwować metadane potrzebne do routingu.
W przypadku VPN system szyfruje zamierzony ruch aż do serwera VPN. Z tego serwera ruch jest kierowany dalej do celu. Jeśli korzysta również z HTTPS, pozostaje zaszyfrowany do witryny; w przeciwnym razie część za serwerem VPN nie zyskuje magicznie ochrony HTTPS.
| Pytanie | VPN | HTTPS |
|---|---|---|
| Zaczyna się na | Urządzenie lub aplikacja VPN | Przeglądarka lub aplikacja |
| Kończy się na | Serwer VPN | Witryna lub usługa |
| Adres IP widziany przez witrynę | Serwer wyjściowy | Nie zmienia go |
| Chroni przed fałszywymi witrynami | Nie | Certyfikat pomaga, ale nie zapobiega phishingowi |
Źródła i odnośniki
Kto co widzi?
Sieć lokalna widzi głównie zaszyfrowane połączenie z serwerem VPN. Dostawca VPN widzi informacje potrzebne do przekazania połączenia, ale HTTPS ogranicza jego możliwość odczytywania treści wymienianych z witryną.
Witryna widzi wyjściowy adres IP VPN i wszystko, co jej udostępniasz: zalogowane konto, pliki cookie, dane formularzy i identyfikatory przeglądarki. HTTPS chroni te dane podczas przesyłania, ale nie przed samym odbiorcą.
Przykład: hotelowe Wi-Fi
Otwierasz bank przez HTTPS, gdy VPN jest aktywny. Hotelowe Wi-Fi nie widzi treści strony, lecz połączenie z VPN. Serwer VPN przekazuje połączenie, ale HTTPS utrzymuje szyfrowanie treści bankowych aż do banku.
Jeśli strona wyświetla ostrzeżenie certyfikatu, nie ignoruj go tylko dlatego, że VPN jest aktywny. Tunel nie weryfikuje tożsamości witryny w imieniu przeglądarki.
Częste nieporozumienia
Kłódka w przeglądarce nie oznacza, że witryna jest uczciwa: głównie oznacza, że połączenie z tą domeną jest szyfrowane i uwierzytelnione zgodnie z certyfikatem. Witryna phishingowa również może korzystać z HTTPS.
Z kolei HTTPS nie ukrywa przed witryną adresu IP Twojego połączenia. VPN może zmienić adres wyjściowy, ale konta i pliki cookie pozostają widoczne dla witryny.
- Nadal korzystaj z HTTPS nawet z VPN.
- Nigdy nie omijaj ostrzeżenia certyfikatu bez zrozumienia jego przyczyny.
- Sprawdź zakres aplikacji lub rozszerzenia VPN.
- Traktuj dostawcę VPN jako zaufanego pośrednika.