HTTPS и VPN: в чём разница и нужны ли они вместе

Вы включили VPN перед работой в кафе и всё равно видите знакомый замок рядом с адресом сайта. Получается, шифрование сработало дважды? Короткий ответ на вопрос «HTTPS и VPN разница» в том, что оба инструмента шифруют данные, но на разных участках пути, и друг друга не заменяют.

Чтобы разобраться, полезно представить путь запроса от устройства до сайта как дорогу с двумя разными отрезками. На каждом отрезке своя защита, и у каждой свои границы. Дальше по порядку.

HTTPS шифрует связь между браузером и сайтом

HTTPS это защищённая версия протокола, по которому браузер обменивается данными с сайтом. Такое соединение шифрует содержимое запроса, например введённый пароль или сообщение, по описанию MDN (Mozilla Developer Network, справочник для разработчиков). Это работает отдельно для каждого сайта, с которым вы связались.

Если открыть пять вкладок, браузер договорится о шифровании с каждым сайтом по отдельности. Значок замка в адресной строке относится именно к этой конкретной связи, а не к работе устройства в целом.

Представьте созвон из кафе: вы вводите код доступа на сайте видеосервиса. HTTPS защищает содержимое этого запроса на пути к серверу сервиса. Но он ничего не говорит о том, кто ещё подключён к той же сети Wi-Fi и что он может увидеть на уровне соединения.

VPN шифрует путь до своего сервера

VPN (от английского virtual private network, виртуальная частная сеть) создаёт зашифрованный канал между устройством и сервером VPN. Дальше от этого сервера трафик идёт обычным путём к сайту, как подробнее описано в статье «Что такое VPN простыми словами».

Это другой участок дороги. VPN не договаривается с каждым сайтом отдельно: он шифрует весь обслуживаемый трафик на отрезке до своего сервера. Сайт при этом обычно получает запрос с внешнего адреса сервера VPN.

Граница тоже понятна. Отрезок от сервера VPN до сайта шифрованием VPN уже не защищён. Здесь и остаётся нужным HTTPS: он закрывает именно эту часть пути, которую VPN не берёт на себя.

Что видит владелец сети Wi-Fi

Возьмём тот же кафе. Без VPN владелец сети видит, что ваше устройство установило соединение с конкретным сайтом, но не видит содержимое страниц и введённые данные, если сайт работает по HTTPS: шифрование закрывает именно содержимое.

С включённым VPN та же сеть видит только соединение с сервером VPN. Какие сайты вы посещаете дальше, через этот канал не разглядеть, потому что трафик до сервера идёт одним зашифрованным потоком.

Разница не в том, что один инструмент безопаснее другого в целом. Она в том, какую часть маршрута каждый из них закрывает и от чьего наблюдения. Больше про саму механику чужих сетей — в статье «Публичный Wi-Fi без страшилок». У Бабая к бесплатной сети без пароля в аэропорту личная неприязнь, но это отдельная история.

Когда есть смысл использовать оба вместе

Прежде чем выбирать между инструментами, стоит понять, какую задачу вы решаете прямо сейчас.

• Работаете в домашней сети с привычными сайтами. HTTPS уже на месте, VPN здесь скорее про смену видимого адреса.
• Подключились к сети кафе, аэропорта или гостиницы. Здесь VPN шифрует маршрут до своего сервера, а HTTPS сайта это не заменяет и не отменяет.
• Открываете форму с паролем или номером карты. Проверьте, что адрес начинается с https и браузер не предупреждает об ошибке сертификата.
• Выполняете видеозвонок из чужой сети. Полезно и шифрование трафика с помощью VPN, и собственный HTTPS сервиса связи.
• Сомневаетесь, какой сайт перед вами. Ни HTTPS, ни VPN вопрос подлинности сайта не решают, об этом дальше.

Что не меняется, какой бы набор вы ни выбрали

Оба инструмента остаются шифрованием маршрута и содержимого. Замок в адресной строке подтверждает только то, что соединение зашифровано, а не то, что сайт настоящий или безопасный: сертификат может получить и мошеннический домен.

VPN точно так же не защищает от фишинга и вирусов и не проверяет, кому вы сами передаёте данные через форму или сообщение. Если человек убедил вас ввести пароль на поддельной странице, шифрование канала это не остановит.

Выбор между HTTPS и VPN не стоит делать по принципу «или-или»: это ответы на разные вопросы о разных участках одного пути. HTTPS работает всегда, когда сайт его поддерживает. VPN добавляет смысл там, где важно скрыть сам факт соединения от конкретной сети, через которую вы сейчас проходите.