Кот Абсолютный

Вопрос не имеет смысла до тех пор, пока не определено, от кого собираетесь защищаться.
Разные нарушители имеют разные возможности. В сферической информационной безопасности рассматривается абстрактный технический обьект защиты.
В реальной жизни это совершенно не так и запросто сложится ситуация, когда Вы сами введете все необходимые пароли и расскажете все, что знаете (потому что горячий паяльник в #опе - это очень неприятно...)

то есть ключи видны провайдеру при нашем первичном взаимодейтсвии

Нет.
Гуглите "асимметричная криптография". Она как раз и придумана для установления соединения по прослушиваемому каналу. В лоб в настоящий момент сломать https невозможно, поэтому и идут в ход всяческие хитрости с установкой госсертификатов :)
Но с тором пример неудачный - само по себе использование тора оно уже маркирует Вас как человека, за которым стоит последить...

80% работы и обучения - рутина, бесконечная и муторная работа с бумажками, зарплата колеблется около 20к в районах,

Не бывает "средней температуры по больнице". ИБ - это огромная область, в которой десятки направлений, которые делятся еще на десятки поднаправлений.
Все очень зависит от того, где работаешь - в одного в конторе в сотню-другую рыл, в небольшом отделе в конторе человек на 500 или в Сбербанке, например.
Чем меньше контора - тем ширше круг обязанностей, чем больше - тем уже. В небольшой конторе ты можешь быть не очень связан регламентами, тем более, что половину из них тебе же и писать. В Сбере у тебя и 100% времени может уйти на регламенты.
Со стороны в ИБ можно попасть только в контору типа Сбера - где ты долго будешь расти внутри подразделения. В небольшой конторе рыл на сотню-две - ИБ-шник (если он вообще есть) как правило один, максимум два и занимается он всем и имеет доступ всюду и ждут от него решения всего, в том числе весьма неприятных вопросов (например просмотреть сто тысяч (это не оборот речи - их реально было сто тысяч!) фотографий и удалить компроментирующие определенного человека).
Работу админа он должен знать лучще админа - потому что ему их контролировать приходится.
Работу юриста - в определенной области законодательства - не хуже юриста
Работу психолога - не хуже психолога средней руки (ИБ это далеко не всегда про компы. ИБ зачастую про людей)

Здесь нет никакой романтики. Здесь нет никаких эмоций - только суровая безжалостная правда, которая крошит иллюзии безжалостно, когда ты видишь на оперативном мониторе СМП, что девочка с ресепшн, о кторой ты втайне мечтаешь, переписывается с мальчиком из продаванов, и при этом матерится как сапожник и собирается отдаться за покатушки на тачке...
Это скучная, рутинная работа, где много микротиков (или цисок, или даже фортигейта), много конфигов прокси и правил iptables, много логов и их анализа, много СМП/DLP и никакой хакерской романтики

Запросто. Если хватит тяму например потестить со своего домашнего компа систему безопасности какого-нибудь банка.
В остальном зависит конечно же от выбранных разделов ИБ и методов обучения :)

мне пришлось заменить файлы

Ну разумеется. А иначе придется всем рассылать оповещения - чуваки, скачайте новый сертификат сервера и поменяйте у себя.
ta.key не знаю зачем и dh.pem можно было бы и не менять - пусть новый инстанс сгенерит себе новую константу, а вот server.crt и server.key - правильно заменили. ca.crt - это просто файл корневых сертификатов

ТС вроде как повезло - он сдал. Но так везет не всем - https://habr.com/ru/news/t/596137/

Это как раз о том, о чем я писал в комментах - никто не будет с Вами чухаться. Система потребует, чтобы ей обеспечили условия, в которых она будет работать - или же работать откажется.

Прочитал про организацию своего PKI и не совсем понял одну вещь

Судя оп вопросу, стоило написать "не понял нихрена так что даже толком не могу обьяснить, что мне надо".

PKI - иерархическая структура выпуска сертификатов X.509, которые по сути являются защищенными от изменений файлами, содержащими некоторый набор данных (если абстрагироваться от сети доверия, поскольку собственному CA не доверяет никто), которые ты передаешь между некоторыми службами и сервисами. Как эти файлы будут использоваться - это твое личное дело, какие данные заложишь - такие и проверишь.
Разные ограничения можно реализовать по-разному, все зависит от того, что надо.
В почте сертификат используют для шифрования
В вебе - для подтверждения подлинности имени
В VPN - для аутентификации сторон

Никак.

Мне ничего не помешает открыть сайт в виртуалке и включить запись на хосте. Да, качества не будет, но записать я смогу, причем так, что виртуалка никогда об этом не узнает. Но это самый хардкорный способ. Обычно все далется намного проще - пишется псевдо-клиент, который якобы крутит фильм, а на самом деле его скачивает

С чего начать, какой язык/языки осваивать?

С процесса "перестать забивать голову глупостями с ютуба". Хакерские атаки в подавляющей своей массе - "какерские" - тупой подбор пароля или не менее тупой перебор всем известных веб-уязвимостей. А доступ к компьтютерам надоедает со скростью ну просто космической - потому что там ничего нет. Ну вот просто ничего такого. А все, что хочется там найти - через три года можно будет найти на любом порносайте :)

ИБ - это не для прыщавых юнцов, насмотревшихся фильмов про хакерскую романтику. ИБ - это серьезная, скучная, очень часто неприятная работа, это знание законов и отчасти психологии (потому что работаешь не только с компами, но и с людьми), это бесконечные конфиги микротиков и цисок, правила прокси и генерация сертификатов, это километры документации, которую читаешь и пишешь, это постоянный мониторинг СМП и неизменная привычка примерять любую ситуацию к возможностям утечки или обхода корпоративных правил.

Не хочу подключать оборудование по проводу, поэтому подключу всё по wi-fi

Подобная хотелка и информационная безопасность несовместимы в принципе. В wifi безопасность - только внутри шифрованных туннелей, а построение сети - только со сменяемыми ключами через RADIUS, если конечно оборудование поддерживает.
WPA может быть хоть 3, хоть 10 - контроля над радиоволной это все равно не даст.

Если У Вас нет железобетоных доказательств того, что они не прослушивают - лучше считать, что прослушивают (и я совершенно не удивлюсь, если это так оно и есть - ворон ворону глаз не выклюет)

Ну, начать следует с того, что понятие "безопасник" ооочень сильно отличается в зависимости от размеров конторы и наличия там отдельного подразделения ИБ.
В небольших конторах вообще нет ИБ, как такового - им обычно является местный админ (или пара админов - вряд ли их больше)
В конторах чуть побольше - как правило один специалист по ИБ, функционал которого может весьма варьироваться в зависимости от его положения в ШДС, стажа работы и авторитетности :)
В крупных конторах, где имеются целые отделы или даже департаменты ИБ - там есть и специалисты по тому, и специалисты по сему...
Быть ИБ-шником и не знать линух может себе позволить только человек, у которого есть возможность работать в конторе типа ЦФТ, в противном случае - никак. Ну вот как Вы будете админов контролировать, если не знаете ихз работу? :)
Кроме того, как правило в ИБ не берут людей с улицы - я уже не раз говорил, что ИБ создает правила, поэтому сама обычно им не подчиняется, так что кого попало туда просто не возьмут.
Идите в госструктуры - там реально нехватка грамотных кадров (увы, сталкивался...). Там мало денег, но много работы ;) Кроме того, обычно ИБ-шника отличает еще и наличие полезных знакомств :) а на госслужбе их завести как раз самое место.

от всего лишнего, которое считается вредоносным

Как обычно :) Удаление зараженного сайта (а если сайт на VPS - лучше всего VPS), развертывание бэкапа

Кто и где отвечает за подобного рода хакерские действия?

Обычно - малолетние школоебы, любители ставить Kali :) Подвернулся уязвимый сайт, чего бы и не почувствовать себя Рудневым :)

но не конкретные страницы на этих доменах).

Откель такая уверенность? Вы не видели кода этого сервиса, Вы не можете сказать, как он работает. Следовательно, предполагается наиболее плохое - сервис ведет полный подробный лог

не более, чем домены, без конкретных страниц.

Еще раз - Вы не видели код этого "vpn", Вы не знаете, как он работает. Поэтому следует предполагать, что могут слить все.

Не имея рутовых прав - никак.
Для скрипта - никак вообще, хоть с правами, хоть без них
Для программы с правами - через setuid