A diferença num minuto
Com HTTPS, o navegador verifica a identidade do site através de um certificado e criptografa as trocas até ao site: a rede local, o fornecedor de Internet e o servidor VPN não conseguem ler o seu conteúdo. Contudo, sem VPN, a rede local e o seu fornecedor de Internet conseguem normalmente ver a que site se liga (o do seu banco, o da sua seguradora de saúde…), quando e que quantidade de dados troca: o HTTPS oculta o conteúdo, não o destino.
Com uma VPN, o sistema criptografa o tráfego pretendido até ao servidor VPN. A partir desse servidor, o tráfego continua até ao destino. Se também utilizar HTTPS, permanece criptografado até ao site; caso contrário, a parte posterior ao servidor VPN não ganha magicamente proteção HTTPS.
| Pergunta | VPN | HTTPS |
|---|---|---|
| Começa em | Dispositivo ou aplicativo VPN | Navegador ou aplicativo |
| Termina em | Servidor VPN | Site ou serviço |
| Endereço IP visto pelo site | Servidor de saída | Não o altera |
| Protege contra sites falsos | Não | O certificado ajuda, sem impedir phishing |
| Sites ocultos do seu provedor de internet | Sim | Variável |
Fontes e referências
Quem pode ver o quê?
Sem VPN, a rede local e o seu fornecedor de Internet veem o endereço e, normalmente, o nome de cada site contactado. Com a VPN, para o tráfego que passa por ela, veem apenas uma conexão criptografada ao servidor VPN. O fornecedor de VPN vê as informações necessárias para retransmitir a conexão, mas o HTTPS impede-o de ler o conteúdo trocado com o site. A FuzeVPN não conserva registros de atividade VPN: nem sites visitados, nem consultas DNS.
O site vê o endereço IP de saída da VPN e tudo o que compartilha com ele: conta conectada, cookies, dados de formulários e identificadores do navegador. O HTTPS protege estes dados em trânsito, não os esconde do próprio destinatário.
Exemplo numa rede Wi-Fi de hotel
Abre o seu banco através de HTTPS enquanto a VPN está ativa. O Wi-Fi do hotel não consegue ver o conteúdo da página; vê uma conexão à VPN. O servidor VPN retransmite a conexão, mas o HTTPS mantém o conteúdo bancário criptografado até ao banco.
Se uma página apresentar um aviso de certificado, não o ignore apenas porque a VPN está ativa. O túnel não valida a identidade do site em nome do navegador.
Ideias erradas comuns
O cadeado no navegador não significa que um site seja honesto: significa sobretudo que a conexão a esse domínio está criptografada e autenticada de acordo com o certificado. Um site de phishing também pode utilizar HTTPS.
Por outro lado, o HTTPS não esconde do site o endereço IP da sua conexão. Uma VPN pode alterar o endereço de saída, mas as contas e os cookies continuam visíveis para o site.
- Continue a utilizar HTTPS mesmo com uma VPN.
- Nunca ignore um aviso de certificado sem compreender a sua causa.
- Confirme o âmbito do aplicativo ou extensão VPN.
- Trate o fornecedor de VPN como um intermediário de confiança.