Бесплатный VPN и данные карты, что видит VPN?

Question

[Batmanius]

Добрый день. Хочу зайти на fasttech используя расширение браузера для vpn и оплатить товар напрямую картой.
Вопрос:
Будет ли vpn провайдер видеть данные, которые я ввожу для оплаты?
1. Если vpn провайдер подменил сертификаты.
2. Если всё по чесноку и провайдер vpn не вмешивается в сертификаты.

Извиняюсь, если что-то не так сформулировал.

Ну и что бы дважды не вставать, дополнительный вопрос.
0. Что видит простой провайдер, когда я захожу на сайт по https, всю строку url или только доменное имя?

Comments

[posters]

Вы не задумывались почему все VPN либо бесплатные, либо без конца раздают пробные периоды?) Сервера и трафик стоят денег.

Answer 1

[CityCat4]

1. Если vpn провайдер подменил сертификаты.

Организовать полноценный MitM - не так-то просто. Мало подменить сертификаты - нужно сделать так, чтобы Ваша ось считала, что выпущенный VPN сертификат на vk.com например - и есть настоящий! А это можно сделать только добавив сертификат выпускающего CA в доверенные.
Думаете, почему так много бузза вокруг "госсертификатов"? Потому что наличие-отсутствие его на компе дает/не дает государству вскрывать https.
VPN провайдер увидит конечную точку, время соединения и обьем, прошедший в обе стороны. Иногда этого уже достаточно.
Для защиты данных карты от утечки (вполне понятное желание) достаточно пойти другим путем - завести карту, которую не жалко и на которой никогда нет денег.
Для защиты факта платежа (что деньги заплатили именно Вы, а не кто-то другой) - наиболее гарантированный способ поднять свой VPN.

Comments

[Batmanius]

Ага, стало понятнее. Кароче, надо зайти через 3-4 разных бесплатных vpn и сравнить все возможные свойства сертификата и если всё сходится, значит подмены скорее всего нет. Спасибо, вы меня успокоили и я сформировал план действий.

[Владимир Коротенко]

Зачем вскрывать https если в датацентр идет прямой кабель и смотрят они уже базы данных в расшифрованном виде.
Это конечно паранойя, но не значит что этого нет.

[CityCat4]

Владимир Коротенко, Да нет, скорее всего так оно и есть :) Ведь неизвестно, что там за клиент и как он работает. Неизвестно даже, кто спонсирует данного поставщика - вовсе не факт, что это не те самые конторы, от внимания которых хочется укрыться.
ТС, более-менее серьезную гарантию того, что никто тебя не слушает, может дать только свой VPN. Все остальное - только для смены IP (иногда возникает задача подключения с другим IP, при этом на приватность пофиг - подключение нужно на пять-десять минут)

Answer 2

[Владимир Коротенко]

0. Что видит простой провайдер, когда я захожу на сайт по https, всю строку url или только доменное имя?
доменное имя либо вообще ничего
https://lifehacker.com/how-to-enable-dns-over-http...

1. Если vpn провайдер подменил сертификаты.

2. Если всё по чесноку и провайдер vpn не вмешивается в сертификаты.

VPN это другой уровень.
Грубо говоря vpn это дорога или даже выделенная полоса.
а https это фура с опломбированным содержимым.

Насчет подмены сертификатов почитайте у касперского 8)
https://support.kaspersky.com/KWTS/6.1/ru-RU/166244.htm

и внимательно про исключения
https://support.kaspersky.com/KWTS/6.1/ru-RU/193664.htm
ssl pining и HTTP/2.0

Comments

[Batmanius]

Ссылки интересные, но там всё по настройке squid и некоторые нюансы, а я не настолько подкован, что бы знать как именно мои данные идут до нужного сайта. За ответ на 0 спасибо.

Answer 3

[Alexander Kalinin]

подменить сертификаты так, чтоб об этом не узнали вы, практически невозможно, разве что если вы троян на пк получите, либо сами добавите сертификат как доверенный.
не зря браузеры говорят, что «злоумышленники могут перехватить пароли и номера банковских карт», если вдруг с сертификатом что-то не так.

если никакой подмены не будет, то естественно, впн ничего о данных карты не узнает, но только если https будет 100%. советую поставить расширение вроде «https-everywhere».

Что видит простой провайдер, когда я захожу на сайт по https, всю строку url или только доменное имя?

увидит только лишь домен и то только если в браузере не включен так называемый «dns over TLS»