Un protocol VPN este setul de instrucțiuni pe care aplicația dvs. VPN îl folosește pentru a vă configura, securiza și gestiona conexiunea la un server VPN. OpenVPN este un protocol VPN care nu are puncte slabe cunoscute și este eficient în ocolirea anumitor metode de cenzură online. De asemenea, OpenVPN are avantajul de a beneficia de asistență pe o gamă uriașă de platforme și dispozitive.

Există implementări cu cod sursă închis ale OpenVPN, dar există și o ediție comunitară gratuită și cu cod sursă deschis (Community Edition).

În acest articol, analizăm în detaliu cum funcționează OpenVPN, cum menține în siguranță comunitatea Proton VPN și cum se compară cu alte protocoale VPN. Acest articol vă va fi de cel mai mare ajutor dacă înțelegeți deja cum funcționează un VPN.

Aflați mai multe despre cum funcționează un VPN

Lansat inițial în 2001, OpenVPN începe să își arate vârsta în ceea ce privește viteza, performanța și eficiența. Cu toate acestea, este în continuare considerat pe scară largă ca fiind sigur, o percepție consolidată de documentele publicate de avertizorul de integritate al NSA, Edward Snowden, în 2013.

Luați Proton VPN

Acestea au indicat în mod clar că, atât timp cât nu utilizați chei prepartajate(fereastră nouă), OpenVPN era singurul protocol VPN utilizat pe scară largă la acea vreme pe care NSA nu îl putea sparge. WireGuard®, un protocol VPN mai recent și mai sigur, nu fusese încă dezvoltat în 2013. Deși WireGuard este mai rapid, mai ușor și mai eficient, nu se poate compara cu istoricul de succes dovedit în timp al OpenVPN.

Avantaje OpenVPN:

  • Cod sursă public
  • Securitate dovedită în timp
  • Poate rula prin UDP sau TCP
  • Asistență pe scară largă

Dezavantaje OpenVPN:

  • Performanța nu se poate compara în prezent cu cea a WireGuard (deși se depun eforturi pentru a o îmbunătăți)
  • Bază de cod relativ mare și complexă

Proton VPN oferă asistență pentru OpenVPN în toate aplicațiile noastre:

  • Windows 
  • macOS
  • Android
  • Android TV (prin Smart Protocol)
  • iOS și iPadOS
  • Aplicație Linux și CLI
  • Chrome OS

Cum mă menține OpenVPN în siguranță?

OpenVPN folosește mai multe tehnologii criptografice pentru a vă menține datele în siguranță și nu are vulnerabilități cunoscute. Tehnologiile folosite de majoritatea implementărilor moderne ale OpenVPN (inclusiv cele ale Proton VPN) sunt:

AES

Advanced Encryption Standard (AES) este un cifru cu cheie simetrică utilizat pentru a cripta și decripta datele transmise prin conexiunea dvs. VPN.

Este certificat de Institutul Național de Standarde și Tehnologie(fereastră nouă) (NIST) și utilizat de guvernul Statelor Unite pentru a securiza datele clasificate. AES are o dimensiune maximă a cheii de 256 de biți (AES-256), guvernul SUA considerând AES-256 suficient pentru a securiza informațiile „top secret”(fereastră nouă).

Când este utilizat ca parte a suitei de criptare OpenVPN, AES poate fi folosit în modurile AES-CBC (Cipher Block Chaining) sau AES-GCM (Galois/Counter Mode). Pentru a înțelege cum funcționează Proton VPN, trebuie doar să știți despre AES-GCM

Deși este la fel de sigur, cel mai modern AES-GCM este un cifru de criptare autentificată cu date asociate(fereastră nouă) (AEAD) care poate autentifica datele, pe lângă securizarea lor. HMAC SHA (a se vedea mai jos) este în continuare necesar pentru a autentifica conexiunea TLS, dar AES-GCM este mai eficient (și, prin urmare, mai rapid) în autentificarea datelor decât SHA.

Aflați mai multe despre criptarea AES

RSA

OpenVPN se bazează pe AES pentru a vă securiza datele, dar pentru a le trimite prin conexiunea VPN, OpenVPN aplică criptografia cu cheie publică(fereastră nouă). Acest sistem criptografic folosește un schimb de chei asimetric, în care datele dvs. sunt criptate folosind cheia publică partajată deschis a destinatarului dvs. vizat. Aceste date pot fi apoi decriptate doar de cheia privată secretă a destinatarului dvs., .

Criptarea cu cheie asimetrică este eficientă pentru trimiterea datelor în secret pe internet, dar este lentă în comparație cu sistemele de criptare simetrică, cum ar fi AES. De aceea, este utilizată în principal în VPN-uri pentru a autentifica conexiunile dintre clientul VPN și serverul VPN. OpenVPN folosește criptosistemul RSA(fereastră nouă) în acest scop.

Lungimile cheilor RSA pot avea aproape orice dimensiune, dar o cheie de 4096 de biți este suficient de sigură fără a genera o solicitare computațională mare, care este ineficientă și vă încetinește conexiunea.

DHE

Un schimb de chei Diffie–Hellman(fereastră nouă) (DHE) poate fi utilizat pentru a securiza schimbul de chei TLS într-un mod similar cu RSA, cu excepția avantajului că oferă, de asemenea, securitate de transmisie(fereastră nouă). Securitatea de transmisie garantează că se folosesc chei noi pentru fiecare sesiune, astfel încât, chiar dacă o sesiune este cumva compromisă, nicio altă sesiune nu este afectată. Securitatea de transmisie se asigură că atacatorii nu pot decripta sesiunile VPN istorice cu o singură cheie compromisă.

Cu toate acestea, deoarece DHE reutilizează un set limitat de numere prime, poate fi vulnerabil la atacuri de tip logjam(fereastră nouă). Această problemă reprezintă o îngrijorare mult mai mică dacă sunt utilizate dimensiuni suficient de mari ale cheilor, dar utilizarea sa pentru securizarea schimburilor de chei TLS rămâne controversată.

Din acest motiv, Proton VPN utilizează asistența DHE în suita de criptare OpenVPN pentru a asigura securitatea de transmisie, dar nu și pentru a securiza schimbul de chei în sine.

HMAC SHA

OpenVPN folosește HMAC SHA pentru a valida certificatele TLS utilizate în schimbul de chei TLS. Acest lucru protejează împotriva atacurilor de tip man-in-the-middle.

Familia de algoritmuri SHA(fereastră nouă) de funcții hash criptografice(fereastră nouă) este utilizată pentru a autentifica datele. Atunci când aceste funcții matematice complexe sunt aplicate unui set de date, se creează o amprentă unică. Dacă se modifică un singur bit din acele date, amprenta SHA se modifică de asemenea.

SHA-1 (o funcție hash de 160 de biți) este cunoscută ca fiind vulnerabilă la atacuri prin coliziune(fereastră nouă), dar SHA-2 este în continuare considerată sigură. În plus, OpenVPN folosește oricum SHA doar pentru a calcula valorile codului de autentificare a mesajelor bazat pe hash(fereastră nouă) (HMAC). Acestea sunt mult mai greu de atacat decât algoritmul SHA de sine stătător, până în punctul în care chiar și SHA-1 este considerat în continuare suficient de sigur pentru HMAC(fereastră nouă).

Canale Open VPN

OpenVPN folosește două canale distincte pentru a transfera în siguranță datele între dispozitivul dvs. și serverul VPN.

O prezentare generală a modului în care funcționează OpenVPN

Canalul de date

Înainte de a vă trimite datele prin tunelul VPN, OpenVPN le criptează cu un cifru cu cheie simetrică.

Proton VPN folosește până la AES-256 în modul GCM pentru a verifica datele.

Canalul de control

Odată ce datele sunt criptate, acestea pot fi trimise prin tunelul VPN. Canalul de control stabilește o conexiune TLS între clientul VPN și serverul VPN. Aceasta este securizată folosind un cifru cu cheie simetrică, dar cu un schimb de chei asimetric.

Proton VPN utilizează până la AES-256-GCM ca cifru simetric, cu autentificare pe bază de hash RSA-4096 și HMAC SHA-384 pentru verificarea certificatelor TLS. Suita de criptare pe care o folosim include, de asemenea, un acord de chei Diffie-Hellman (DHE) pentru a asigura confidențialitatea cu redirecționare (forward secrecy).

Poate OpenVPN să combată cenzura VPN?

Unul dintre marile avantaje ale OpenVPN este că poate rula atât pe protocolul de transmisie UDP, cât și pe cel TCP, acestea fiind cele două protocoale principale care gestionează modul în care datele sunt trimise pe internet. UDP este mai rapid, în timp ce TCP este mai fiabil, însă principalul avantaj al acestei flexibilități este că TCP este util pentru a combate cenzura impusă de guverne și alte organizații.

Aflați mai multe despre diferența dintre UDP și TCP

Portul TCP 443 este utilizat de HTTPS(fereastră nouă), standardul de criptare care securizează web-ul. Acest lucru face dificilă blocarea OpenVPN atunci când rulează pe portul TCP 443 fără a bloca tot traficul HTTPS, ceea ce face ca OpenVPN să fie util pentru ocolirea blocajelor VPN de nivel scăzut.

Cu toate acestea, formele mai avansate de inspecție profundă a pachetelor pot detecta cu ușurință diferența dintre pachetele HTTPS și cele VPN.

Aflați mai multe despre inspecția profundă a pachetelor

A fost OpenVPN auditat?

În urma unei campanii de finanțare comunitară, OpenVPN 2.4 a fost auditat în mod independent(fereastră nouă) de OSTIF și QuarksLab în 2016. Rezultatele au fost foarte pozitive, iar singura vulnerabilitate critică/ridicată descoperită se referea la sensibilitatea la un atac de tip refuz al serviciului și nu a afectat securitatea utilizatorilor. Această problemă a fost, de asemenea, remediată rapid.

Cu toate acestea, 2016 a fost destul de demult, iar OpenVPN 2.6.1 este cea mai recentă versiune la momentul redactării.

OpenVPN vs. WireGuard

Protocolul mai nou WireGuard este sigur, rapid și eficient, motiv pentru care Proton VPN îl folosește acum ca protocol VPN implicit. Capacitatea OpenVPN de a rula pe TCP rămâne un avantaj față de versiunea standard de WireGuard, dar Proton VPN a dezvoltat acum o implementare de WireGuard care rulează, de asemenea, pe TCP.

Aflați mai multe despre WireGuard

De asemenea, WireGuard constituie baza protocolului nostru de ofuscare Stealth, care este mult mai eficient în evitarea blocajelor de cenzură decât rularea OpenVPN prin TCP.

Aflați mai multe despre Stealth

Faptul că securitatea OpenVPN rămâne mai bine testată în timp decât cea a WireGuard poate fi încă atractiv pentru unii, dar există puține motive pentru a-l alege în detrimentul WireGuard, cu excepția cazului în care dispozitivul dvs. actual nu oferă asistență pentru WireGuard.

Gânduri finale

Timp de mulți ani, OpenVPN a fost practic protocolul VPN implicit și, din acest motiv, beneficiază în continuare de o asistență foarte bună pe routere și alte dispozitive cu acces la internet. Este în continuare extrem de sigur, dar oferă puține avantaje față de WireGuard, care este mai modern (în special implementările personalizate ale noului protocol realizate de Proton VPN).