很多普通网络用户甚至部分运维人员都存在认知误区，认为只要同时开启VPN加密隧道、所有访问站点都带HTTPS安全锁，就能覆盖几乎所有网络安全风险，但实际在日常办公、家用上网的真实场景里，有大量常见安全隐患是这两项传输层加密技术完全无法覆盖的，本文就结合实际可验证的操作场景，盘点VPN与HTTPS不能解决哪些问题，帮大家排查自己网络环境里的盲区。
终端本地恶意程序的内存读取风险
不少用户以为连了加密VPN、访问的所有网页都走HTTPS加密传输，恶意程序就偷不到自己的账号密码和本地文件，实际上如果你的终端之前接入过带毒的移动存储设备、点击过钓鱼邮件附件，已经潜伏了具备高权限的木马，就算全程走VPN隧道访问HTTPS加密的业务系统，木马也可以直接在本地内存里读取已经解密完成的明文数据。
即便同时启用VPN加密隧道与HTTPS加密访问，终端本地潜伏的高权限木马仍可直接读取内存中已解密的明文敏感数据
这个场景的验证方式非常简单，Fly你可以在隔离的测试设备上安装正规的进程调试工具，开启VPN后登录HTTPS加密的内部OA系统，随后用调试工具读取浏览器进程的内存空间，就能直接看到明文的登录账号密码和刚下载的业务文件，这部分数据的生成和读取都发生在终端本地，根本不会经过VPN的加密封装环节，HTTPS的解密动作也是在本地浏览器完成的，两项技术都管不到终端本地的权限越界行为。
信任链被篡改后的证书劫持风险
很多企业的内网审计系统会主动给所有接入终端推送自签的根证书，用来解密所有HTTPS流量做合规审计，不少用户以为自己开启了VPN之后隧道内的流量是独立加密的，不会被这类设备截获，实际上如果终端系统的根证书信任列表已经被提前写入了不受信任的自签证书，VPN客户端本身的流量也可能被系统层面的证书策略直接劫持。
排查这类问题的操作门槛很低，你只需要打开电脑或者手机的系统证书管理界面，查看所有已被标记为“完全信任”的根证书条目，如果发现有你自己从未主动安装过的陌生根证书，就算你同时开启VPN和全程HTTPS访问，你的所有浏览记录、表单输入内容都可能被证书持有者直接读取，这是HTTPS本身的信任链机制决定的，VPN也无法绕过操作系统的根证书信任规则。
路由配置错误导致的流量泄露问题
很多普通用户配置VPN的时候只选择了“代理浏览器流量”的非全局模式，没有开启系统级的路由接管，这时候就算你访问的所有网页都是HTTPS加密的，Fly加速器客户端迁移指南本地设备发送的DNS解析请求还是会走宽带运营商的默认DNS服务器，你的访问域名记录会直接被运营商留存，VPN的加密隧道根本没有覆盖到这部分DNS请求。
你可以通过公开的第三方DNS检测站点验证这类泄露，开启VPN之后刷新检测页面，如果检测结果里出现不属于你VPN服务商分配的DNS服务器地址，就说明当前环境存在DNS泄露，这种场景下就算HTTPS完全加密了网页内的所有内容，第三方还是能通过DNS请求记录知道你访问了哪些站点，只是看不到你在站点内输入的具体内容。
还有不少手动配置VPN静态路由的运维人员，容易写错路由规则导致部分流量直接绕过VPN隧道走原始公网链路，这部分流量如果刚好访问了没有强制开启HTTPS的子域名服务，就会直接以明文形式在公网传输，绝大多数普通VPN客户端不会主动校验所有路由规则的合理性，也不会给用户推送这类配置错误的告警，很多用户直到出现数据泄露才发现问题。
服务端侧的权限配置疏漏风险
哪怕你用合规的加密VPN接入企业内网，全程通过HTTPS加密访问内部业务系统，如果业务系统本身的管理员给普通员工开放了超出职责范围的文件读写权限，攻击者拿到普通用户的账号之后还是可以直接下载核心业务数据，VPN和HTTPS都属于传输层的加密技术，完全管不到服务端后台的权限分配逻辑。
很多中小团队的运维人员误以为只要把业务系统部署在内网、仅允许VPN接入，再给站点配置正规HTTPS证书就不会出现数据泄露，实际上这类场景下的权限滥用、越权访问事件常年占据内部数据泄露案例的很大比例，这类问题完全不在VPN与HTTPS的能力覆盖范围内，需要单独做定期权限审计、全操作日志留痕才能有效规避。
