VPN daxilində OAuth: hansı mərhələlər hələ də TLS tələb edir

Şəxsi marşrutlaşdırma serverə kimin çatdığını müəyyən edir; OAuth-un nəql qaydaları isə hər mesajın necə getdiyini müəyyən edir. Brauzer, avtorizasiya serveri, token son nöqtəsi və resurs serveri eyni VPN-in arxasında ola və yenə də mesajları müxtəlif mərhələlər üzərindən mübadilə edə bilər. Hər mərhələnin öz nəql tələbi var və VPN onların heç birini yumşaltmır. VPN sərhədi ilə protokol sərhədi fərqli xətlərdir.

Qərar daha asan olur, əgər şəbəkənin etibarlı olub-olmadığını soruşmağı dayandırıb hansı mübadilənin hansı sərhədi keçdiyini soruşmağa başlasanız.

Şəbəkəyə görə deyil, mərhələyə görə qərar verin

Son nöqtələri ayrı-ayrılıqda yazın: avtorizasiya son nöqtəsi, token son nöqtəsi, yönləndirmə URI-si, resurs serverinin URL-i, TLS-in bitdiyi nöqtə və VPN şlüzü. Sonra hər sorğunun hansı tərəfdən başladığını və cavabın hara getdiyini qeyd edin.

Şlüzda bitən VPN həmin şlüza qədər olan seqmenti şifrələyir. Sorğu onun arxasında adi HTTP kimi davam edə bilər və əvvəlki seqment şifrələndiyi üçün qalan həmin mərhələ HTTPS-ə çevrilməyib. Məhz bu davam protokolun vecinə olan mərhələdir. Birinci sıçrayışı şifrələmək ikinci sıçrayışı təhlükəsiz etmir.

Nəql həm də xidmət kimliyinin yoxlanmasını daşıyır. Brauzer tətbiqin URL-i üçün sertifikatı yoxlayır; VPN bu yoxlamanı brauzerin əvəzinə aparmır və yoxlanılmamış son nöqtəni qəbuledilən etmir. Sertifikat müştərinin zəng etdiyini düşündüyü son nöqtənin adını göstərir. Şlüza gedən tunel həmin son nöqtəni nə adlandırır, nə də yoxlayır.

Avtorizasiya cavabı və yönləndirmə URI-si

OAuth-un təhlükəsizlik üzrə mövcud ən yaxşı təcrübəsi avtorizasiya cavablarının şifrələnməmiş bağlantılar üzərindən ötürülməsini qadağan edir. Bu, yalnız ilkin sorğunu deyil, avtorizasiya kodunu və ya tokenləri müştəriyə geri aparan yönləndirməni də əhatə edir.

Eyni təlimat göstərilən yerli müştəri loopback halı istisna olmaqla, HTTP yönləndirmə URI-lərinə icazə vermir. Daxili host adı yeni istisna yaratmır və yalnız VPN daxilində həll olunan DNS adı, sxem bunu deyirsə, yenə də HTTP URL-dir. Yalnız host adını deyil, qeydə alınmış URI-dəki sxemi yoxlayın.

Dəqiq HTTPS yönləndirmə URI-sini avtorizasiya serverində qeydiyyatdan keçirin və müştəridə sertifikat yoxlamasını aktiv saxlayın. HTTPS tələbini boğan inkişaf qısayolu, təqlid etməli olduğu istehsal konfiqurasiyasından fərqli davranan bir axın yaradır.

Token son nöqtəsi və bearer token sorğuları

Token sorğusu etimadnamə və ya girişə dəyişdirilə bilən kod daşıyır. Onu qorunmayan mərhələ üzərindən göndərmək, ətraf şəbəkə xüsusi olsa belə, resurs serverinin sonradan etibar edəcəyi materialı açıq qoyur. Sorğunu oxuya bilən proksi onun daşıdığı etimadnaməni də oxuya bilər.

Bearer token ilə resurs sorğuları üçün RFC 6750 TLS-i həmin spesifikasiya üzrə tətbiq və istifadə baxımından məcburi sayır. Ofis alt şəbəkəsini etibarlı adlandırmaq açıq mətnli bearer yerləşdirməsinin ehtiyac duyduğu ümumi protokol istisnası deyil.

Hər iki mərhələ üçün sənədləşdirilmiş təhlükəsiz son nöqtə URL-lərindən istifadə edin. Əgər kitabxana HTTP token son nöqtəsini çağırmaqdan imtina edirsə, bu imtina spesifikasiyanın işləməsidir, yan keçilməli konfiqurasiya xətası deyil. Həmin URL-i işləmə vaxtı çıxarmaq əvəzinə müştəri konfiqurasiyasında qeyd edin.

TLS harada bitir və bunun ardında nə qalır

Əgər TLS səlahiyyətli bir ön hissədə bitirsə, o ön hissəni adlandırın və ondan tətbiqə qədər olan yolu nəzərdən keçirin. Ön hissə qalan seqmentdə yönləndirmə, etimad və məxfilik üzrə məsuliyyət daşıyır və xidmətin dəstəklənən arxitekturası bu düzümü təsvir etməlidir.

Yolun başqa yerindəki VPN bu məsuliyyətləri həll etmir. O, həm də brauzerin gördüyü tətbiq URL-inin ön hissənin təqdim etdiyi sertifikata uyğun olub-olmadığını demir.

Daxili yerləşdirmə üçün bitmə nöqtəsini və onun təqdim etdiyi kimliyi qeyd edin. TLS-i başqa ad üçün sertifikatla bitirən ön hissə, operatorların çox vaxt düzəltmək əvəzinə boğduğu brauzer xəbərdarlığı yaradır.

Yerli loopback istisnası dardır

Loopback yönləndirmə istisnası istifadəçinin öz cihazında, müştəri ilə brauzerin həmin cihazı paylaşdığı bir geri çağırışa aiddir. Bu düzüm bir cihazdakı geri çağırışa aiddir və adi avtorizasiya serverinin və ya token daşıyan API-nin HTTP üzərindən ofis alt şəbəkəsinə təqdim edilməsinə icazə vermir.

İstisnanı təsvir etdiyi müştəri növü və geri çağırış çərçivəsində saxlayın. Onu veb tətbiqə, ortaq daxili xidmətə və ya başqa hostdakı yönləndirmə URI-sinə tətbiq etmək istisnanı deyil, yerləşdirməni dəyişir.

Faktiki axını hər sərhəddə sınaqdan keçirin və müştəri növü ilə müqayisə edin. İşləyən yönləndirmə token daşıyan hər mərhələnin tələb olunan qorunmadan istifadə edib-etmədiyi barədə heç nə demir və yaşıl VPN nişanı növbəti sorğunun sxemi barədə heç nə demir.