Trước khi gửi mật khẩu qua một proxy miễn phí

Đừng dùng mật khẩu thật để xem một proxy lạ có hoạt động không. Phép thử kết nối bằng trang vô hại có thể xác nhận kết nối mà không làm lộ tài khoản. Có nên tin tuyến đó với lưu lượng riêng tư hay không cần đánh giá kết nối riêng.

Với HTTP không mã hóa, proxy xử lý yêu cầu và phản hồi đọc được. Điều này có thể làm lộ mật khẩu, cookie, khóa API, tham số truy vấn riêng tư và phần thân phản hồi. Token phiên bị đánh cắp có thể giá trị ngang mật khẩu đã tạo ra nó.

Với HTTPS được xác minh qua đường hầm CONNECT thông thường, TLS chạy giữa máy khách và trang web. Proxy chỉ chuyển tiếp kết nối thường không thể đọc dữ liệu ứng dụng đó. Điều này phụ thuộc vào tên máy chủ dự định, việc kiểm tra chứng chỉ và tin một kho CA phù hợp. Cài chứng chỉ gốc của proxy không rõ nguồn gốc có thể cho phép bên vận hành chặn bắt TLS; bỏ qua lỗi chứng chỉ cũng loại bỏ lớp bảo vệ bạn đang dựa vào.

Dù nội dung được bảo vệ, bên vận hành vẫn nhận kết nối và có thể quan sát thông tin đích có trên đường đi qua proxy, thời điểm và lưu lượng. Họ có thể làm gián đoạn và có thể liên hệ các luồng với nhau. IP đầu ra khác không cho biết họ giữ bản ghi nào hay ứng dụng khác của bạn gửi gì.

Đăng nhập proxy đi qua một phần khác của tuyến

Xác thực proxy có thể diễn ra trước TLS với đích. HTTPS của trang web không bảo vệ được trao đổi văn bản rõ trước đó với proxy. Thương lượng tên người dùng/mật khẩu SOCKS5 cũng không tự mã hóa thông tin đăng nhập. Đánh giá đường truyền giữa máy khách và proxy cùng phương thức xác thực trước khi cung cấp tài khoản proxy.

Kiểm tra kết nối không dùng phiên riêng tư

Dùng lệnh riêng thay vì đổi tuyến trình duyệt đang đăng nhập các tài khoản. Loại bỏ khóa API mặc định, token bearer, cookie và dữ liệu riêng khỏi máy khách. Với bộ lắng nghe HTTP:

curl --noproxy '' --proxy http://127.0.0.1:8080 --connect-timeout 5 --max-time 15 https://example.com/

Thay điểm cuối cục bộ bằng dịch vụ của bạn. Giữ xác minh chứng chỉ bật và thời gian chờ hữu hạn; xem xét chuyển hướng bất ngờ hoặc yêu cầu cài tài liệu tin cậy. So sánh trực tiếp được phép có thể giúp tách lỗi của đích. Xóa thông tin nhạy cảm khỏi điểm cuối và nhật ký trước khi chia sẻ.

Với tài khoản riêng hoặc tích hợp sản xuất, dùng bên vận hành mà bạn đánh giá được chủ sở hữu, hỗ trợ và cơ chế tin cậy, hoặc dịch vụ tự quản lý. Trả tiền thôi không bảo đảm điều gì. Danh sách proxy miễn phí cung cấp ứng viên; tải trang thành công chỉ trả lời về khả năng hoạt động cho yêu cầu đó, không phải độ tin cậy của bên vận hành.