2012年8月30日星期四

[GFW BLOG(功夫网与翻墙)] 技术探讨��VPN真的安全吗!?

早上醒来习惯性打开微博,看到了关于一些和免费VPN有关的个人信息安全性问题,作为一名经常游走于墙里墙外的人,觉得有必要搞个明白,遂起身开电脑Google了一番,找到了些有关的文章与各位分享。
声明:本狼也是这方面的菜鸟,只做抛砖引玉,坐等各位技术流原地科普。

我们以某网站的手机登录页面为例。这个页面是没有提供HTTPS访问的,用户名密码在传输中始终都是明文传输。那么如果通过VPN,用VPN连接作为网关访问,可以保证密码的加密吗?

假设访问用户在北京,ISP是北京联通;假设京东的服务器在电信,ISP是杭州电信。如果没有VPN,那么数据都是不加密的,用红色表示:

如果用VPN,只有到VPN服务器的数据加密。从VPN到京东的流量还是明文的:

在使用VPN的情况下,在PC抓包,是加密的VPN数据;但是在VPN服务器抓包,还是可以看到明文的密码。从VPN服务器到京东服务器的路由中的所有节点,都可以获得用户密码的。所以说用VPN只是部分路径加密了的,不能确保数据的安全。

用SSH隧道加密的情况也类似,不能保证全部路径上都是加密的

��������割线������以下为微博中各位技术流对VPN安全性探讨的原文

@:VPN不管怎么加密,总要把数据包还原成客户端的数据再发到目标服务器,所以在VPN服务器上是能抓包的,也就是你的网站密码还有别的密码是能给抓下来的

@: 国内已经发生过很多类似事件 只是木有引起注意!免费VPN 很危险,自己的VPN才靠谱

@: 不管什么系统,最终数据包都要还原成客户机子上的数据发送到目标机子上,而在解包的服务器上是可以抓包的,就算不能抓包,在网络驱动层必须会有这要发送的没加密的数据,必定是能获取的

@: 你的机子->(加密)->VPN->(解密后的)->访问目标机子 就算你的机子和VPN之间怎么加密,在最终发给目标机子都会还原成没加密的

PS:复制这麽多没有吓唬各位的意思,也并没有怀疑某些好心的大大分享自己搭建的VPN的意图,只是想让各位了解有这么一回事,万事有利必有弊,总结一句,只要你使用VPN的情况下不进行你各种的个人登录,抓也是白抓,需要登录的话那就请谨慎使用VPN,尤其是号称免费的VPN。

来源http://www.linziqu.com/26320.html

原文:http://igfw.net/archives/11355



--
Posted By GFW BLOG 功夫网与翻墙 to GFW BLOG(功夫网与翻墙) at 8/30/2012 05:50:00 PM

--
1、翻墙利器赛风3下载地址: http://dld.bz/caonima326http://dld.bz/caonima745/
2、我们的订阅地址:http://feeds2.feedburner.com/chinagfwblog
3、停止订阅,请发邮件到
gfw-blog+unsubscribe@googlegroups.com
翻越防火长城,你可以到达世界上的每一个角落。(Across the Great Firewall, you can reach every corner in the world.)

没有评论:

发表评论