شهادة VPN مخصصة ليست طبقة تشفير إضافية

تركيب شهادة مخصصة على طرف VPN يبدو كإضافة حماية، لأن الشهادات والتشفير يظهران معًا في كل مكان. عمليًا، يغيّر ذلك أمرين: الهوية التي يقدّمها الطرف، والجهة المُصدرة التي يقبل نظيره الثقة بها. لا شيء من هذين يغلّف بياناتك مرة ثانية. وإذا كان المطلوب فعلًا قناة محمية ثانية، فأنت تحتاج قناة ثانية بأطرافها الخاصة، لا شهادة أخرى.

ثلاث مهام منفصلة في مصافحة TLS 1.3

RFC 8446 يفصل هذه الأمور، والفصل نفسه هو الجواب. رسالة Certificate تحمل سلسلة شهادة الطرف. و CertificateVerify يثبت امتلاك المفتاح الخاص المطابق ويربط نص المصافحة. أما طبقة السجلات فتحمي حركة المرور بمفاتيح حركة المرور المتفاوض عليها.

استبدل الشهادة يتغيّر البند الأول والثاني. حماية السجلات لا تُنفّذ مرتين، ولا تصبح أقوى لأن الجهة المُصدرة صارت خاصة.

ما الذي تشتريه سلطة شهادات خاصة فعلًا

إنها تشتري نظام هوية مضبوطًا: أنت تقرر من يحصل على الإصدار، وأنت تقرر أي مُصدر يقبله النظراء، ويمكنك الإلغاء وفق جدولك الخاص. وهذا مفيد حقًا عندما تدير الطرفين.

لكنها تستورد التزامات أيضًا. يجب توزيع الثقة عن قصد، ويجب أن يبقى التحقق من النظير مفعّلًا، ويجب أن يتولى شخص ما دورة حياة بيانات الاعتماد. سلطة الشهادات الخاصة ليست طريقًا مختصرًا يلتف على أي من هذه الثلاثة.

متى تكون القناة الثانية هي الجواب الصحيح

افترض أن تطبيقًا يفتح HTTPS موثّقًا إلى خدمته الخاصة بينما تمر حزمه أيضًا عبر VPN. هذا التصميم له حدّان بأطراف قد تختلف، وهذا هو شكل القناة المحمية الثانية.

الفرق يهم عند البوابة. إذا انتهت جلسة TLS الخاصة بالتطبيق عند بوابة VPN بدلًا من التطبيق، فالحماية التي ظننت أنك تملكها بعد النفق غير موجودة. اكتب من ينهي كل قناة قبل أن تدّعي هذه الخاصية.

اسأل ما الذي يغيّره التركيب

طلب تركيب شهادة قد يعني ثلاثة أمور مختلفة. قد يغيّر هوية العميل نفسها، أو مرساة ثقة خاصة بتطبيق، أو ثقة على مستوى النظام لكل شيء على الجهاز. هذه ليست متكافئة، وآخرها وحده يؤثر في برمجيات لا علاقة لها بالموضوع.

اسأل أيّ الثلاثة هو المقصود، ثم اسأل ما المفترض أن يحققه. إذا كان الجواب مزيدًا من التشفير، فالاقتراح موجّه إلى الآلية الخاطئة.

دوّن الحدود

لكل قناة، سجّل الأطراف، والهوية التي يتحقق منها كل جانب، وما يمكن للمشغّل في الوسط رؤيته. ثم سجّل سلوك الفشل: ماذا يحدث عندما يفشل التحقق، وماذا يحدث عندما تُرفض القناة.

سطران على صفحة واحدة يحلّان عادةً جدالًا لا يستطيع تدوير الشهادات حلّه.

احسم الأمر بثلاثة أسئلة

هل المشكلة في من يدّعي الطرف أنه هو، أم في ما يحدث للبيانات؟ هل يجب أن تستمر الحماية بعد بوابة VPN إلى تطبيق معيّن؟ وهل تستطيع تسمية الطرفين اللذين سينهيان قناة ثانية؟

إذا كان السؤال الأول هو الحقيقي، فأصلح الهوية والثقة. وإذا كان الثاني أو الثالث هو الحقيقي، فصمّم القناة الثانية واترك الشهادة في مكانها.