Уласны сертыфікат VPN — гэта не дадатковы слой шыфравання
Сертыфікат змяняе ідэнтычнасць і давер, а не колькасць слояў шыфравання. Выбірайце, пытаючыся, што і дзе завяршаецца.
Усталяванне ўласнага сертыфіката на канчатковым пункце VPN выглядае як даданне абароны, бо сертыфікаты і шыфраванне ўсюды з'яўляюцца разам. На практыцы гэта змяняе дзве рэчы: якую ідэнтычнасць прадстаўляе пункт і якому выдаўцу яго партнёр гатовы давяраць. Ні адно з гэтага не заварочвае вашыя даныя другі раз. Калі рэальная патрэба — другі абаронены канал, вам патрэбны другі канал са сваімі канчатковымі пунктамі, а не чарговы сертыфікат.
Тры асобныя задачы ў рукапацісканні TLS 1.3
RFC 8446 раздзяляе гэта, і само раздзяленне — увесь адказ. Паведамленне Certificate нясе ланцуг сертыфікатаў пункта. CertificateVerify даказвае валоданне адпаведным прыватным ключом і звязвае пратакол рукапаціскання. Узровень запісаў абараняе трафік з дапамогай узгодненых ключоў трафіку.
Замяніце сертыфікат — першыя два пункты змяняюцца. Абарона запісаў не выконваецца двойчы і не робіцца мацнейшай толькі таму, што выдаўца цяпер прыватны.
Што насамрэч дае прыватны CA
Ён дае кіраваную сістэму ідэнтычнасці: вы вырашаеце, каму выдаваць, вы вырашаеце, якім выдаўцам давяраюць партнёры, і можаце адклікаць па сваім графіку. Гэта сапраўды карысна, калі вы кіруеце абодвума канцамі.
Але ён прыносіць і абавязкі. Давер трэба размяркоўваць свядома, праверка партнёра мусіць заставаць уключанай, а жыццёвым цыклам уліковых даных мусіць валодаць нехта. Прыватны CA не абыходзіць ні адзін з гэтых трох пунктаў.
Калі другі канал — правільны адказ
Уявім, што праграма адкрывае правераны HTTPS да ўласнага сэрвісу, пакуль яе пакеты ідуць і праз VPN. У такой схеме дзве мяжы з патэнцыйна рознымі канчатковымі пунктамі, і менавіта так выглядае другі абаронены канал.
Розніца важная на шлюзе. Калі сеанс TLS праграмы завяршаецца на шлюзе VPN, а не ў самой праграме, той абароны, якую вы меркавалі мець за тунэлем, там няма. Запішыце, хто завяршае кожны канал, перш чым заяўляць гэтую ўласцівасць.
Спытайце, што змяняе ўсталяванне
Запыт на ўсталяванне сертыфіката можа азначаць тры розныя рэчы. Ён можа змяніць уласную ідэнтычнасць кліента, давяральны якар, спецыфічны для праграмы, або давер на ўзроўні усяе платформы да усяго на прыладзе. Гэта не адно і тое ж, і толькі апошняе закранае старонняе праграмнае забеспячэнне.
Спытайце, якое з трох маецца на ўвазе, а затым — чаго гэта павінна дасягнуць. Калі адказ — больш шыфравання, прапанова накіравана не на ты механізм.
Запішыце мяжы
Для кожнага канала запішыце канчатковыя пункты, ідэнтычнасць, якую правярае кожны бок, і што бачыць аператар пасярэдзіне. Затым запішыце паводзіны пры збоі: што адбываецца, калі праверка не ўдалася, і што — калі канал адхілены.
Два радкі на адной старонцы звычайна закрываюць спрэчку, якую ротацыя сертыфіката закрыць не можа.
Вырашыце трыма пытаннямі
Праблема ў тым, кім сябе заяўляе пункт, ці ў тым, што адбываецца з данымі? Ці павінна абарона працягвацца за шлюзам VPN да пэўнай праграмы? І ці можаце вы назваць два канчатковыя пункты, якія завяршылі б другі канал?
Калі першае пытанне — сапраўднае, папраўце ідэнтычнасць і давер. Калі другое ці трэцяе, праектуйце другі канал, а сертыфікат пакіньце там, дзе яму месца.