Безопасность VPN: честный обзор

Если вы живете не на Марсе и пользуетесь интернетом, то почти наверняка где-то вы встречали упоминания VPN-сервисов — в виде рекламы ли или инструкций о том, как сохранить доступ к заблокированным сайтам и услугам. Благодаря масштабным маркетинговым компаниям, ежедневно этими сервисами пользуются миллионы людей, создавая рынок стоимостью $33,42 млрд в 2021 году с совокупным среднегодовым темпом роста 14,7%. Это огромный рынок, который, на мой взгляд, стоит изучить.

Если же вы живете на Марсе, то ради бога, просто заберите меня к себе…

Но поскольку много приглашений я, по-видимому, не получу, сегодня я бы хотел поделиться своей точкой зрения на VPN-сервисы и в общих чертах объяснить, как они работают, когда они действительно полезны, а когда нет. Сетевые технологии — штука непростая, но я постараюсь объяснять необходимые понятия самыми простыми словами, иногда, может быть, жертвуя ради этого точностью.

Для начала рассмотрим вкратце, как работает подключение к веб-сайту в принципе, а затем обратимся к некоторым из самых распространенных заявлений VPN-провайдеров, чтобы понять, что является полной правдой, а что лишь частично.

Ну давайте начинать!

Дисклеймер: у меня нет желания вступать в дискуссию с активными пользователями VPN. Я тоже иногда пользуюсь VPN и ни в коем случае не хочу сказать, что эти сервисы бесполезны. Я лишь хочу поделиться своей точкой зрения на VPN-сервисы, нисколько не настаивая на своей окончательной и исчерпывающей правоте.

Когда вы подключаетесь к веб-сайту

Когда вы ищете какой-либо сайт в Google, вы просто вводите название в строку поиска и щелкаете по ссылке, которую предоставляет вам поисковая система. При этом вы видите лишь верхушку айсберга, потому что «под капотом» происходит очень многое. То, что происходит на самом деле, можно кратко описать следующим образом:

1. Браузер посылает запрос по сети вашему интернет-провайдеру — то есть начиная от вашего роутера и заканчивая серверами провайдера — для разрешения имени выбранного вами сайта (скажем, www.Facebook.com [принадлежит компании Meta, признанной в России экстремистской]).about:blankabout:blank
2. Ваш интернет-провайдер перенаправляет запрос на свой стандартный DNS (сервер доменных имен), который можно представить как огромную таблицу записей, отслеживающую все веб-сайты и сопоставляющую их с соответствующими IP-адресами. Эта программа преобразует имя сайта в IP-адрес (www.Facebook.com становится 89.125.36.145) и отправляет соответствующий IP-адрес обратно браузеру.
3. Тогда ваш браузер отправляет этот новый запрос на подключение к 89.125.36.145 провайдеру, который связывается с сервером, «слушающим» этот адрес.
4. В ответ сервер выдает запрошенную страницу — обычно index.html, то есть главную страницу сайта — и возвращает браузеру html-код.
5. Наконец, браузер отображает содержимое html-страницы.

То есть происходит довольно много всего.

Что добавляет VPN

Использование VPN, по сути, добавляет к описанному процессу подключения к веб-сайту еще один шаг.

Мы сначала подключаемся к VPN-серверу, а он затем обрабатывает наши запросы к тому сайту, который мы ищем. По шагам установление такого соединения выглядит примерно следующим образом:

1. Сначала мы подключаемся к VPN-серверу, то есть просим нашего интернет-провайдера направить запрос в VPN-сервис, а не напрямую на сайт, как в варианте с прямым подключением. При этом происходит DNS-запрос, как и обычно, после чего провайдер возвращает нам соединение с сервером.
2. Теперь мы подключены к VPN-серверу, который будет обрабатывать все наши запросы к сайтам. А наш интернет-провайдер с этого момента будет видеть только запросы к VPN-серверу, который уже будет перенаправлять наши запросы — слегка модифицированные — на запрашиваемые веб-сайты.
3. Сервер сайта увидит, что запрос пришел, но с IP-адреса VPN-сервера, а не с нашего IP. Значит, и отвечать веб-сайт будет VPN-серверу.
4. Затем VPN-сервер пересылает нам ответ с веб-сайта в классическом формате html-страницы.
5. Наконец, наш браузер отображает страницу.

«Под капотом» есть еще много чего другого, но для простоты изложения я стараюсь быть краток, насколько возможно.

Что действительно важно понять, так это то, что, когда мы используем VPN-сервис, мы, можно сказать, подменяем сервер нашего интернет-провайдера другим, то есть VPN-сервером. Это очень важно для понимания дальнейшего.

Что заявляет большинство VPN-сервисов

Теперь, с пониманием самых основ того, как работает стандартное соединение с веб-сервером, я бы хотел перейти к обсуждению стандартных заявлений VPN-сервисов, которые они используют для привлечения аудитории, и высказать свою точку зрения в отношении них.

Приватный серфинг в интернете

Как мы увидели выше, это правда, что VPN добавляет уровень конфиденциальности к серфингу в интернете. Но это не значит, что использование VPN обеспечивает абсолютную конфиденциальность. Предположим, что я хочу подключиться к определенному веб-сайту без ведома моего локального интернет-провайдера. И да, VPN действительно скрывает от него веб-сайт, к которому я подключаюсь, но, с другой стороны, интернет-провайдер может видеть много другой информации: дату и время подключения, пропускную способность, занятую моим запросом, мой пользовательский агент и так далее. И самое главное: мой интернет-провайдер может видеть, что я подключаюсь к VPN-серверу! Есть множество стран, где пользователям не разрешается подключаться к VPN, и даже если это разрешено, интернет-провайдер может сделать рассудить, что мы подключаемся к чему-то необычному, потенциально опасному, вредному или не разрешенному правилами самого провайдера либо законами страны.

Кроме того, в отношении сокрытия содержания соединения, VPN по сути бесполезен: каждое соединение, использующее протокол HTTPS, шифруется, поэтому, даже если провайдер видит, куда я перехожу, он не сможет увидеть, что именно я делаю на этом сайте. Например, если я подключаюсь к Facebook, то интернет-провайдер не сможет увидеть, размещаю ли я новое фото в своей ленте или отправляю запрос в службу поддержки сайта. Провайдер не увидит разницы.

Вы можете легко отличить HTTP от HTTPS по серому замочку перед именем веб-сайта в строке поиска: если символ замочка есть, то соединение с этим сайтом зашифровано, и ваши данные в безопасности, даже без VPN.

В наше время использование HTTP вместо HTTPS считается уже даже просто неприличным, поэтому, к счастью, HTTP-сайты исчезают со сцены все быстрее и быстрее. Если вам доведется пользоваться веб-сайтом, использующим старый протокол HTTP, не вводите на нем никакой личной информации и лучше покиньте его, по возможности, скорее.

И последнее соображение в отношении приватного интернет-серфинга, которое я хочу высказать: серфинг приватный от кого? Да, действительно, мы скрываем нашу активность от нашего настоящего интернет-провайдера, но, как я уже говорил, мы, по сути, просто передаем роль нашего провайдера VPN-серверу. Это означает, что, даже если большинство VPN-сервисов заявляет, что не ведет логи и не собирает никаких данных о пользователях, мы просто доверяем им в этом: у нас ведь нет способа проверить, действительно ли они не хранят записей о нашей активности в интернете. А что, если на самом деле они собирают наши данные? Может быть, для продажи, на чем были пойманы многие бесплатные VPN, или чтобы предоставлять к ним доступ по запросу правительств в случае подозрений в нарушении законов. VPN, по сути, становится для вас новым интернет-провайдером, и кажется, что, если вы не хотите доверять своему подлинному интернет-провайдеру, то не стоило бы доверять и VPN-сервису.

Скрывайте свое местоположение, чтобы просматривать стриминговый контент из других стран и получать лучшие цены на свои покупки

Это правда: VPN может подменить ваше местоположение для конечного сервиса, к которому вы подключаетесь. Это потому, что, как мы уже объясняли, конечный веб-сайт будет видеть соединение, исходящее от IP-адреса используемого VPN-сервера, и не увидит IP-адрес вашего домашнего роутера. Это означает, что запрашиваемый вами сайт не будет знать, кто вы и где находитесь: он получит запрос от VPN-сервера, и будет знать только его местоположение и IP-адрес. То есть, если вы не авторизуетесь на этом сайте, конечно…

Однако в этом аспекте, мне кажется, интереснее другой вопрос: действительно ли нам разрешен доступ к веб-сайтам и сервисам таким образом?

Правильный ответ: часто да. Но есть значимые исключения. Одно из самых востребованных заявлений VPN-компаний состоит в том, что с их помощью вы можете получить доступ к таким сервисам, как Netflix или Amazon Prime Video как будто из другого места, чтобы посмотреть контент, доступный в других странах. Проблема в том, что в большинстве случаев это запрещено правилами сервиса. Тот же Netflix неоднократно заявлял, что такая практика запрещена, и подобное поведение может приводить к перманентному бану аккаунта.

Стандарты криптографии, используемые военными

Часто VPN-сервисы заявляют, что используют для защиты соединения и передачи данных между клиентами и серверами шифрование наивысшего класса, используемое военными. И это чистейшая правда: в большинстве случаев для шифрования данных используется алгоритм AES, используемый также многими правительствами и военными по всему миру. Будучи намного быстрее и менее требовательным к ресурсам, чем RSA, AES стал практически стандартом в криптографии, когда его использование возможно технически.

Но чтобы быть до конца честными, провайдерам VPN стоило бы говорить также, что в этом нет ничего особенного: даже стандартный HTTPS использует те же AES и RSA для шифрования данных в обычном повседневном режиме. Так что это утверждение верное, но в самом факте такого шифрования нет ничего особенного.

Блокировка рекламы и вредоносного ПО

На этом я даже не буду подробно останавливаться. Существует так много способов блокировки рекламы, что платный VPN-сервис здесь ничего не значит. Плюс: блокировка вредоносных программ? Как VPN должен заблокировать для вас возможность загрузки вредоносного кода или программы? Я думаю, что в этом отношении пока лучше будет положиться на старый добрый антивирус (не забывая и о том, что лучший антивирус — это внимательность и здравый смысл).

Безопасный интернет-серфинг в публичных WiFi-сетях

Атаки типа «человек в середине» в публичных WiFi-сетях в наше время не так широко распространены, как можно подумать, но, конечно, они всё ещё могут быть проблемой. С ростом числа бесплатных публичных WiFi-сетей вероятность таких атак только возрастает. По сути, происходит следующее: администратор сети (или взломавший ее злоумышленник) начинает анализировать пакеты, отправляемые с подключенных к сети узлов, пытаясь украсть учетные данные и получить информацию о том, кто, что и когда подключается к локальной сети и куда направляет запросы. Сделать это на самом деле очень просто: например, с помощью программы вроде WireShark.

И дело здесь обстоит так же, как и выше по тексту: вам не нужен VPN, чтобы скрыть свои данные, если вы просматриваете сайт по протоколу HTTPS, поскольку в этом случае отправляемые данные шифруются и передаются через защищенное соединение (SSL). Это значит, что «плохой парень», прослушивающий сеть, может видеть только то куда вы переходите — скажем, на Facebook, — но не увидит вводимые вами имя пользователя и пароль, равно как и контент, который вы ищете или которым делитесь.

А вот с HTTP-сайтами дело обстоит совершенно иначе: в старом протоколе HTTP данные не шифруются, и в этом случае злоумышленник может увидеть те данные, которые вы отправляете на сайт, передаваемые через сеть в открытом виде.

Самое безопасное — это избегать использования веб-сайтов, которые до сих пор используют протокол HTTP (повторюсь: это можно ясно увидеть в строке поиска), не пользоваться такими чувствительными сервисами, как банки, медицинские организации и т.п. из публичных сетей (особенно если они не используют HTTPS), и, наконец, находясь вне дома, всегда, когда это возможно, отдавайте предпочтение мобильной сети (4G, 5G).

Безопасность и конфиденциальность поиска в интернете

Опять же, вам не нужен VPN, чтобы обеспечить безопасность и конфиденциальность поиска, если только вы не просматриваете незащищенные или плохо написанные веб-сайты. Кроме того, есть множество способов сохранить безопасность и конфиденциальность ваших поисковых запросов. В качестве примера можно привести использование Mozilla Firefox вместо Chrome, DuckDuckGo вместо поисковой системы Google, использование Tor для перехода на домены .onion и многое другое. Не буду повторяться, но в принципе и здесь тоже VPN скорее излишен для повседневной деятельности обычного пользователя. Он не бесполезен, просто это перебор…

Защита ваших персональных данных в интернете

Это действительно интересное утверждение, особенно в свете распространения так называемых фишинговых атак. Фишинговая атака — это такая атака, в которой злоумышленник(и) пытается путем кражи, вымогательства или обмана заполучить ваши учетные данные для доступа к одному или нескольким интернет-сервисам. Этот тип атаки становится всё более популярным в последние годы, поскольку технически его относительно просто организовать и, к сожалению, он гораздо более эффективен, чем хотелось бы. Чтобы было понятно, всякий раз, когда вы получаете электронное письмо с предложением войти в систему для получения приза или продления услуги (обычно написанное на странном или неграмотном английском), или сообщение от Amazon о том, что вы якобы потратили на какую-то покупку кучу денег, которых у вас даже нет, это фишинговая атака в своем самом примитивном проявлении.

И если только вы не активируете какие-то особые услуги, иногда предоставляемые компанией, VPN здесь мало что даст. Большинство попыток фишинга начинаются с электронных писем, которые затем перенаправляют пользователя на поддельный сайт, используемый для сбора учетных данных для входа в систему. Подделать страницу входа большинства наиболее распространенных социальных сетей, имейл-провайдеров или онлайн-банков можно буквально за полчаса, и еще полчаса уйдет на настройку системы, которая перехватывает введенные учетные данные, сохраняя их в скрытой базе украденных логинов и паролей.

К сожалению, лучшая защита от таких атак заключается в том, чтобы сохранять бдительность и здравый смысл; именно поэтому больше всего от них страдают пожилые или неосведомленные люди.

Одно из важнейших правил в этом отношении — «Если что-то звучит слишком хорошо, чтобы быть правдой, значит, это неправда». Если вы не подписывались на участие в лотерее, то вы не выиграете приз. Если вы не совершали покупок на Amazon или другом подобном маркете, значит, не совершали. И никогда не сообщайте никому свои пароли, особенно если этот кто-то представляется сотрудником технической поддержки и спрашивает ваши учетные данные. Если он из он действительно из техподдержки, то ему не понадобится ваш пароль, чтобы решить вашу проблему, а если ему нужен ваш пароль, значит, это мошенник.

И последнее, но не менее важное: я бы хотел подчеркнуть, как важно проверять URL-адреса, к которым вы подключаетесь. Если при подключении к Facebook вы видите в адресной строке что-то вроде «www.praisebook.com» или «www.frostbook.com», нет никаких шансов, что это настоящий Facebook. Крупные компании никак не могут изменить свои домены в одночасье, и даже если они это сделают, когда вы будете искать их названия в Google, он приведет вас на правильный домен, и вы не увидите никакой разницы.

Просто будьте осторожны и бдительны!

Подведем итог

Теперь, когда мы знаем чуть больше о том, что на самом деле представляют собой VPN и как они работают, стоит ли платить за такую услугу? Это, конечно, зависит от обстоятельств.

В большинстве случаев обычному пользователю VPN не нужен, если только речь не идет, например, об обходе цензурных ограничений. Сам же по себе простой просмотр веб-страниц достаточно безопасен при правильных настройках и практиках, и платить за еще один уровень безопасности нет необходимости. К тому же это может быть и обоюдоострым оружием: иногда использование инструмента без соответствующего опыта и понимания того, как это делать правильно, может принести даже больший ущерб, чем неиспользование этого инструмента.

Безусловно, есть случаи, когда использование VPN не только рекомендовано, но и необходимо для свободного пользования интернетом. Я говорю о странах, в которых действует цензура, где права человека не принимаются во внимание и ваша личная свобода находится под угрозой. И даже в этом случае, как уже говорилось выше, ваш провайдер может видеть, что вы подключаетесь к VPN-серверу и на этом основании сделать вывод о том, что вы делаете что-то запрещенное, из-за чего правительство может заблокировать вам доступ в интернет или, что еще хуже, заставить VPN-провайдера предоставить им ваш реальный IP-адрес и местоположение.

Само собой, еще один сценарий, в котором VPN может быть полезным инструментом, — это когда вы действительно планируете сделать в интернете что-то незаконное или запрещенное. Большинство VPN на самом деле используются в первую очередь хакерами и киберпреступниками, чтобы увеличить уровень анонимности при проведении атак и скрыть свое реальное местоположение. Но на мой взгляд, маловероятно, чтобы они платили за рекламируемые VPN-сервисы: куда вероятнее, что чаще они поднимают аналогичные сервера сами. В общем, если вы начинающий преступник и планируете использовать VPN, то, по крайней мере, сделайте его самостоятельно, пожалуйста.

Вот мы и подошли к концу. Пост оказался гораздо длиннее, чем я ожидал, и еще так много можно было бы сказать, если честно… Надеюсь, что статья вам понравилась и для кого-то она будет полезна.

 

 

Источник: bitnovosti.com