TLS-vasspying en VPN-toelating beantwoord verskillende vrae

Sit ’n privaat mobiele app agter ’n VPN en ’n redelike mens sal vra of dit nog steeds sertifikaatvasspying nodig het. Die vraag klink soos ’n keuse tussen twee gelykwaardige beheermaatreëls, en dit is eintlik ’n vraag oor twee verskillende hekke. Die VPN besluit of hierdie toestel die pad hoegenaamd mag gebruik; die app besluit of die bediener wat dit bereik het, die een is wat dit verwag het. Beantwoord albei afsonderlik en die ontwerp word eenvoudiger.

Twee hekke, twee vrae

Netwerktrede gaan oor die kliënt: is hierdie toestel ingeskryf, is sy geloofsbrief geldig, en laat beleid dit toe op hierdie pad? Toepassingvertroue gaan oor die bediener: het die verbinding ’n diens bereik met ’n identiteit wat die app aanvaar? Daardie antwoorde kom uit verskillende stelsels, misluk om verskillende redes, en word deur verskillende spanne reggemaak. ’n VPN-handdruk kan slaag terwyl die app met ’n vervalle sertifikaat agter die eweknie praat. ’n Volmaak gevasspiede app kan steeds deur niemand bereik word nie, want die toestel het nooit op die netwerk gekom nie.

Die twee is aanvullend. Om een te laat val verwyder ’n beheermaatreël; om een by te voeg vervang nie die ander nie.

Wat ’n vasspying werklik beperk

’n Vasspying vernou die stel bedieneridentiteite wat die app sal aanvaar, gewoonlik deur ’n publieke sleutel of ’n sertifikaathash te noem eerder as om elke ketting te vertrou wat ’n stoor sou waarmerk. Dit is ’n beperking bo-op gewone validering, nie ’n vervanging daarvoor nie. Gewone validering antwoord of ’n ketting hoegenaamd betroubaar is; die vasspying antwoord of dit die ketting is wat hierdie app verwag. ’n Implementering wat die eerste stap oorslaan, het nie sekuriteit bygekry nie, net nuutheid.

Die objek wat gevasspied word, verskil tussen platforms, so die woord alleen sê jou baie min. Om ’n hash uit een produk se vertrouensstoor te kopieer en dit as dieselfde ding in ’n mobiele app te behandel, is ’n algemene en stille fout.

Platformvasspying is ’n konfigurasie, nie ’n beleid nie

Android stel vasspying beskikbaar deur sy netwerksekuriteitkonfigurasie, waar ’n vasspystel die verwerkingstekens van ’n publieke sleutel hou en die ketting ten minste een daarvan moet bevat. Daardie lêer is per app en vereis ’n doelbewuste bouverandering. iOS het geen ekwivalente manifesmeganisme nie, so vasspying daar woon in die app se eie vertrouensevalueringskode.

Aangesien die meganisme verskil, moet die vereiste per platform geskryf word. ’n Beleid wat sê spy die sertifikaat vas sonder om die platform te noem, is nie implementeerbaar nie.

Rotasie bepaal of die vasspying oorleef

Die moeilike deel is nie die eerste vrystelling nie, dit is die sertifikaathernuwing daarna. ’n Restriktiewe vertrouensbeleid verwerp ’n wettige nuwe sleutel net so ferm as dié van ’n aanvaller.

Twee meganismes maak rotasie oorleefbaar: ’n rugsteunvasspying wat al vertrou word voordat dit nodig is, en ’n vervaldatum op die vasspystel sodat afdwinging verval eerder as om die app te breek. Albei is beleidsbesluite, en veral die vervaldatum is ’n doelbewuste verlaging van sekuriteit eerder as ’n onskadelike tydhouer. Noem wie die app-bou, die TLS-eindpunt en die sertifikaathernuwing beheer, en plaas hulle in een veranderingsproses. As daardie drie verskillende spanne is, sal die vasspying uiteindelik ’n onderbreking veroorsaak wat niemand beplan het nie.

’n Verlore toestel is ’n derde probleem

Om ’n VPN-geloofsbrief te herroep, beëindig nie noodwendig ’n toepassingsessie nie, en ’n bedienervasspying doen heeltemal niks aan ’n foon in iemand anders se hand nie. Toestelslot, geloofsbriefberging, sessieduur en afstandherroeping is afsonderlike besluite met afsonderlike eienaars. Om hulle in die vasspyingbespreking in te vou, waarborg dat nie een van hulle ontwerp word nie.

Toets vier verhoudings in plaas van die een wat jy kan sien: die beoogde bediener en werking, ’n rekening wat geweier moet word, ’n bedieneridentiteit wat verwerp moet word, en die beplande rotasie. ’n Werkende VPN oefen net die eerste een. Skryf neer wat elke toets bewys het, want die volgende persoon sal aanneem dat ’n groen tonnel beteken dat al vier geslaag het.