Fərdi VPN sertifikatı əlavə şifrələmə qatı deyil

VPN son nöqtəsinə fərdi sertifikat quraşdırmaq qoruma əlavə etmək kimi görünür, çünki sertifikatlar və şifrələmə hər yerdə birlikdə çıxır. Praktikada bu iki şeyi dəyişir: son nöqtənin hansı kimliyi təqdim etdiyini və həmkarının hansı emitentinə etibar etməyə hazır olduğunu. Bunların heç biri məlumatlarınızı ikinci dəfə bükmür. Əgər əsl tələb ikinci qorunan kanaldırsa, öz son nöqtələri olan ikinci kanal lazımdır, daha bir sertifikat deyil.

TLS 1.3 əl sıxmasında üç ayrı iş

RFC 8446 bunları ayırır və ayrılığın özü cavabdır. Certificate mesajı son nöqtənin sertifikat zəncirini daşıyır. CertificateVerify uyğun şəxsi açarın sahibliyini sübut edir və əl sıxma protokolunu bağlayır. Record qatı razılaşdırılmış trafik açarları ilə trafiki qoruyur.

Sertifikatı dəyişin — ilk iki bənd dəyişir. Record qoruması iki dəfə işləmir və emitent artıq özəl olduğu üçün güclənmir.

Özəl CA həqiqətən nə alır

Nəzarət olunan kimlik sistemi alır: kimə veriləcəyini siz qərarlaşdırırsınız, həmkarların hansı emitentləri qəbul edəcəyini siz qərarlaşdırırsınız və ləğvi öz cədvəlinizlə edə bilirsiniz. Hər iki tərəfi siz idarə edəndə bu, həqiqətən faydalıdır.

Amma öhdəliklər də gətirir. Etimad qəsdən paylanmalıdır, həmkar yoxlaması açıq qalmalıdır və etimad məlumatlarının həyat dövrünün sahibi biri olmalıdır. Özəl CA bu üçünün heç birindən yan keçən qısa yol deyil.

İkinci kanal nə vaxt düzgün cavabdır

Tutaq ki, tətbiq öz xidmətinə yoxlanılmış HTTPS açır, paketləri də VPN-dən keçir. Bu dizaynın son nöqtələri fərqli ola bilən iki sərhədi var və ikinci qorunan kanal elə buna bənzəyir.

Fərq şlüz qapısında önəmlidir. Əgər tətbiqin TLS sessiyası tətbiqdə deyil, VPN şlüz qapısında bitirsə, tuneldən sonra sizinlə olduğunu düşündüyünüz qoruma orada deyil. Bu xassəni iddia etməzdən əvvəl hər kanalı kimin bitirdiyini yazın.

Quraşdırmanın nəyi dəyişdiyini soruşun

Sertifikat quraşdırma tələbi üç fərqli şey ola bilər. O, müştərinin öz kimliyini, tətbiqə xas etimad ankerini və ya cihazdakı hər şey üçün platforma səviyyəsində etimadı dəyişə bilər. Bunlar eyni deyil və yalnız sonuncusu əlaqəsiz proqrama təsir edir.

Üçündən hansının nəzərdə tutulduğunu, sonra da bunun nəyə xidmət etdiyini soruşun. Cavab daha çox şifrələmədirsə, təklif yanlış mexanizmə tuşlanıb.

Sərhədləri yazın

Hər kanal üçün son nöqtələri, hər tərəfin yoxladığı kimliyi və ortadakı operatorun nə görə bildiyini qeyd edin. Sonra uğursuzluq davranışını yazın: yoxlama uğursuz olanda nə olur və kanal rədd ediləndə nə olur.

Bir vərəqdə iki sətir, sertifikat rotasiyasının həll edə bilmədiyi mübahisəni adətən həll edir.

Üç sualla qərar verin

Problem son nöqtənin kim olduğunu iddia etməsidir, yoxsa məlumatlara nə olduğudur? Qoruma VPN şlüz qapısından sonra konkret tətbiqə qədər davam etməlidir? Və ikinci kanalı bitirəcək iki son nöqtənin adını çəkə bilirsinizmi?

Əgər əsl sual birincidirsə, kimliyi və etimadı düzəldin. İkinci və ya üçüncüdür sə, ikinci kanalı dizayn edin və sertifikatı yerində qoyun.