Sahə cihazı, TLS və VPN: hansı sərhəd nəyi qoruyur

Sahə cihazı xidmətə qoşulur və dizayn sualı VPN ilə TLS arasında seçim kimi gəlir. Bu çərçivə səhvdir, çünki ikisi fərqli işlər görür. TLS tətbiq son nöqtəsini autentifikasiya edir və söhbəti qoruyur; VPN isə əlçatanlığı idarə edir və paketləri həmyaşıdlar arasında qoruyur. Bağlantını cihazdan bayıra doğru izləyin və hər qatın öz cavabı var.

TLS-in harada bitdiyini deyə bilmirsinizsə, tətbiqin əslində nəyə güvəndiyini də deyə bilməzsiniz.

TLS-in əslində harada bitdiyini tapın

Cihaz tətbiqindən başlayın və bağlantını əl sıxışmasını tamamlayan prosesə qədər izləyin. Əgər proksi TLS-i meynfreymdən əvvəl bitirirsə, qorunan yol proksidə bitir. Qalan atlamanın öz sənədləşdirilmiş mühafizəsi lazımdır.

Bunu fərziyyə ilə ucdan-uca adlandırmaq dizayn baxışının boşluğu təsdiqləməsi üsuludur. Bitmə nöqtəsini və etimad lövbərini eyni diaqramda çəkin.

TLS sorğuları və cavabları hər iki istiqamətdə daşıyır, ona görə ikitərəfli tətbiq təbii olaraq TLS əvəzinə VPN-ə ehtiyac duymur. Əksi də doğrudur: yerləşdirmə eyni cihazdakı digər protokollar üçün hələ də VPN-ə ehtiyac duya bilər.

Cihazın nəyi autentifikasiya etməli olduğuna qərar verin

Server şəxsiyyətinin yoxlanmasını və nəzərdə tutulan etimad köklərini konfiqurasiya edin. Hər cihaz öz şəxsiyyətini sübut etməlidirsə, dəstəklənən müştəri autentifikasiyası modelini seçin və hər cihaz üçün ayrıca etimadnamə qeydiyyata alın. Ortaq etimadnamələr bir oğurlanmış cihazı bütün park üçün problemə çevirir.

Göndərməzdən əvvəl açar mühafizəsini, yenilənməni, ləğvi və bərpanı planlaşdırın. Uğursuz yenilənmədən sonra yenidən qeydiyyata alına bilməyən sahə cihazı yerində texniki səfərə çevrilir və bu xərc dizaynı əl sıxışmasından çox formalaşdırır.

Dəstəklənən kitabxana və cari təlimatlardan istifadə edin. Müasir TLS yerləşdirmə təlimatları TLS 1.0 və 1.1 ilə razılaşmanı qadağan edir və köhnə dizayn qeydindəki TLSv1 istinadı tələb deyil.

Əl sıxışması uğursuz olduqda bağlı qalın

Uğursuz əl sıxışması və ya şəxsiyyət yoxlaması səssizcə ilkin açıq mətn protokoluna qayıtmamalıdır. Bu qayıdış TLS işinin bağlamalı olduğu zəiflikdir. Uğursuzluğu cihaz operatoruna və xidmətə görünən edin və həssas əməliyyatlar üçün qorunan kanalı tələb edin. Sonra autentifikasiya olunmuş cihazın nə edə biləcəyinə tətbiq avtorizasiyası qərar versin.

Bağlantı müddətini, kadrlaşdırmanı, fasilələri və təkrar cəhd davranışını müqavilənin hissəsi kimi müəyyən edin. Şifrələmə təkrar olunan əmri təhlükəsiz etmir və qeyri-müəyyən əvvəlki əməliyyatdan sonra təkrar cəhd tətbiq səviyyəsində cavab tələb edir.

Qayıdış qaydasını yazın. “Əl sıxışması uğursuz olarsa, TLS olmadan yenidən qoşulur” bir dizayn qərarıdır və açıq şəkildə belə olmalıdır.

VPN-ə yalnız edə biləcəyi işi verin

VPN əlçatanlığı məhdudlaşdıra və paketləri öz həmyaşıdına qədər qoruya bilər. TLS tətbiqin seçilmiş son nöqtə ilə əlaqəsini qoruyur. Onların bitmə nöqtələri fərqli ola bilər və heç biri son nöqtənin saxlanan məlumatlarını və ya inzibati girişini qorumur.

Əl sıxışması xərcini, sabit mesajlaşmanı və yenidən qoşulmanı bir mexanizmin daha sürətli olduğunu fərz etmək əvəzinə real cihazda ölçün. Sonra vacib olan dörd halı sınaqdan keçirin: nəzərdə tutulan mübadilə, səhv server şəxsiyyəti, icazəsiz cihaz və qeyri-müəyyən əməliyyatdan sonra yenidən qoşulma. Hər hal üçün nəticəni, o cümlədən cihazın göstərdiyi xətanı qeyd edin.