Почему VPN считается "более безопасным" в публичных сетях? Серьезно... почему?

Привет всем. Я работаю в области кибербезопасности уже около 2 лет. Я стараюсь как можно лучше понять технические “почему” для практик, когда это возможно. То, чем я занимаюсь в последнее время, так это техническими преимуществами использования VPN с фокусом на клиента.

Я знаю основы работы VPN, плачу за него и использую его лично, потому что, когда я вошел в эту профессию, я всегда слышал, что безопаснее использовать VPN.

Я видел много людей, которые говорят и публикуют что-то вроде: “Я не использую VPN дома, но всегда следует использовать VPN в публичной сети, такой как отель или ресторан”

Я понял в прошлом месяце, что на самом деле не знаю, почему это так, насколько я думал, и мои исследования в интернете и обсуждения с другими не оставили меня удовлетворенным. Я надеялся получить несколько мнений от людей, которые немного поработали в этой сфере.

Если я нахожусь в ненадежной публичной сети, я отслеживаю несколько рисков:

  1. Злой близнец → Я подключился к вредоносному устройству и теперь прохожу через него, чтобы сделать запрос.

  2. Скомпрометированный маршрутизатор → Потенциальный доступ к просмотру моих пакетов, выходящих из сети.

  3. Совместное использование сети с потенциально вредоносным лицом → Я уверен, что они могли бы выполнять arp-сканирование и исследовать мое устройство.

Я уверен, что есть пробелы в моих знаниях по этому поводу, поэтому, пожалуйста, дайте мне понять, если есть вещи, которые я не учитывал, так как я надеюсь узнать из этого.

Для риска 1 и 2: Я запустил Wireshark перед тем, как создать этот пост, чтобы проверить некоторые из моих основных пониманий TLS. Когда я зашел на reddit, похоже, я действительно использовал TLS. Насколько я понимаю, большинство веб-сайтов используют HTTPS. Если бы “плохой человек” шпионит за мной, даже в публичной сети, они бы увидели мой ClientHello, который действительно содержит SNI для reddit и мою информацию JA3. После этого все данные приложения зашифрованы. Так что они в основном будут знать, что кто-то с моим приватным IP и MAC устанавливает TLS-соединение с reddit.

Теперь в более серьезной атаке, такой как Злой близнец, я предполагаю, что существует риск получения вредоносного ПО из лицевой позиции MitM, в зависимости от того, использует ли веб-сайт какие-либо незашифрованные вещи, такие как файлы JavaScript, если я полагаюсь только на TLS без VPN.

Для риска 3: Я могу получать пинги и сканирования, совместно использую сеть с кем-то. При должной безопасности конечного устройства это не кажется слишком плохим, не идеальным, но VPN не решает эту проблему. Создание туннеля к серверу VPN не исключает того факта, что кто-то в моей сети может попытаться взаимодействовать с моим приватным IP/MAC.

Вот преимущества VPN, которые я отслеживаю:

  • Обфускация геолокации / Конфиденциальность
  • Зашифрованный туннель от клиента к серверу VPN. Так что, если я зайду на что-то, что не является HTTPS, мой незашифрованный веб-запрос будет внутри зашифрованного VPN-туннеля по пути к серверу VPN; однако трафик с сервера VPN к HTTP-серверу будет незашифрованным.
  • Может быть, труднее удалить шифрование у провайдера VPN, чем у TLS?

Есть ли что-то, что я упустил в рисках выше или преимуществах использования VPN в контексте ненадежной сети. Мне кажется, что кто-то, вероятно, будет в порядке, если они собираются на уважаемые веб-сайты, даже когда они на публичной сети. Некоторые шпионы просто получат кучу SNIs и всего остального в этом клиентском приветствии и ответе сервера.

Я пытаюсь заполнить свои технические пробелы, а не просто соглашаться с утверждением “VPN хорош, так безопасен!”.

Редактировать:

Спасибо всем, кто участвовал в этом обсуждении! Я многому научился из различных точек зрения и технических деталей!

VPN в кафе стал популярным благодаря программному обеспечению FireSheep:

https://en.wikipedia.org/wiki/Firesheep

Это было тогда, когда SSL еще не был популярен, поэтому можно было увидеть, что кто-то просматривает на facebook.

Сейчас с SSL (TLS) стало гораздо безопаснее, но аналогичные проблемы все еще существуют, доверяешь ли ты шлюзу, не шпионит ли он за твоим трафиком, изменяет ли твой трафик, некоторые провайдеры или кафе вставляют рекламу в веб-страницы, которые ты просматриваешь, да, действительно.

Все дело в доверии, доверяешь ли ты кафе, доверяешь ли ты своему провайдеру интернет-услуг, доверяешь ли ты своему провайдеру VPN и т.д.

Я рассматриваю использование VPN как большее средство контроля конфиденциальности, чем меру безопасности (хотя конфиденциальность и безопасность идут рука об руку).

В конце концов, я не хочу, чтобы кто-либо вокруг меня, особенно в публичной обстановке, знал, какие сайты я посещаю. Эта информация по-прежнему в значительной степени возможна для определения, даже при использовании HTTPS как шлюза кафе, так и потенциально от кого-то, кто находится в кафе и может отравить мой кеш ARP для шпионажа или выдает себя за злого близнеца. Они могут не знать конкретные URI, которые я открываю, из-за шифрования, но они все равно будут знать хост, к которому я отправляю запрос, что приведет к потере конфиденциальности.

Ваш исходящий трафик из VPN также размывается среди всех остальных пользователей этого же провайдера VPN, что тоже дает преимущества конфиденциальности.

Но с VPN мне все равно нужно доверять своему провайдеру VPN. Вот почему в конце концов, если я действительно хочу конфиденциальность, я просто использую TOR с моим собственным прокси/мостом, к которому могу подключиться. Это устраняет упомянутые беспокойства.

Ваш вопрос был хорошо отвечен. Я просто хочу похвалить вас за то, что вы задали хороший вопрос, а это значит, что вы провели свои исследования и изучение, чтобы убедиться, что у вас есть прочная основа и вы заполняете пробелы. Это отличное поведение и тип основного мышления, которое приведет вас к хорошей работе и росту, если вы сохраните такое отношение. Это лучше, чем те, кто спрашивает: “Скажи мне XYZ”, не приложив никаких усилий. Молодец и всего доброго вам!

С устройством Pineapple за 200 долларов и некоторым копипастом HTML я могу перехватывать довольно много трафика в любой публичной обстановке.

И хотя многие веб-сайты используют https, многие мобильные приложения не обязательно шифруют или помещают сертификаты внутрь самого приложения, что означает, что информацию для входа в мобильные приложения можно увидеть в открытом виде с помощью некоторого базового MITM.

SSL редко является взаимным, а вместо этого используется односторонняя аутентификация. И управление сертификатами совершенно запутанное в отношении мобильных приложений. Банки на удивление плохи.

С учетом количества https, общая кража данных маловероятна. Более серьезный риск — это перехват DNS, который может быть использован для самых разных целей, как хороших, так и плохих.

В первую очередь это просто для поднятия настроения в наши дни - огромное количество людей одержимо страшилкой о компаниях и людях, отслеживающих их данные. Они воспринимают невероятное чувство ущерба и нарушения, гораздо превышающее любую реальную причину за пределами эмоций и жестов, поэтому это, вероятно, будет самым крупным мотиватором использования VPN.

Не забывайте о CVE-2024-3661, также известном как Tunnel Vision - использует опцию 121 DHCP для изменения таблиц маршрутизации без расшифровки.

Классный статический маршрут для протокола динамической конфигурации хоста - RFC 3442

На данный момент использование VPN связано больше с конфиденциальностью, чем с безопасностью.

Разница между домашней сетью и публичной сетью, такой как кафе или отель, заключается в цепочке ответственности оборудования. В домашних условиях, в разумных пределах, ваше личное оборудование передалось от производителя к вам. Ваш модем от провайдера интернет-услуг передался вам непосредственно от провайдера. Рационально предположить, что оборудование не было изменено, чтобы нарушать вашу конфиденциальность/безопасность. Это не так, например, с отелями и т.д.

Что может случиться с оборудованием вне вашего контроля? Разве TLS недостаточно хорош? TLS подвержен атакам MITM для перехвата и расшифровки вашего трафика TLS. Обычно, если это происходит, вы увидите сообщение о ненадежном сертификате в вашем браузере и т.д. Проблема заключается в том, что мы слишком привыкли к самоподписанным сертификатам, и слишком много людей просто игнорируют это. Более того, некоторые службы используют сертификаты CA, выданные доверенными источниками или требуют установить сертификат CA перед подключением к сети. Это много усилий, чтобы расшифровать и украсть данные из беспроводной сети отеля. VPN (по крайней мере, те хорошие) позволяют вам выбрать, какой протокол использовать для вашего VPN, такой как IPsec и т.д.

Дополнительные функции безопасности для клиентов VPN, это то, что они часто имеют настройки для блокировки известных вредоносных сайтов. Это не уникально для VPN, это просто еще один уровень защиты.

Это ведет нас к конфиденциальности. Провайдеры интернет-услуг и операторы публичных сетей регулярно продают ваши данные в рекламных целях. Разве TLS не защищает вашу конфиденциальность? Конечно, но это не непогрешимо. Сетевое устройство не нужно полностью расшифровывать вашу TLS-сессию, чтобы увидеть, что вы делаете. Они могут просто просмотреть сам сертификат. Сертификат дает информацию о том, куда вы идете, что тоже важно.

Но TLS - это не единственное, что вы передаете через сеть. Также есть DNS. Почти все публичные домены категorizованы. Вы попадаете на общественный домен, вероятно, используете их DHCP-услуги, которые назначают их DNS-серверы (или провайдера интернет-услуг). Если вы не используете DNS через HTTPS, ваши запросы находятся в открытом виде. Возьмите отель. Вы подключаетесь к беспроводной сети