Собствен сертификат за VPN не е допълнителен слой шифроване

Инсталирането на собствен сертификат на VPN крайна точка изглежда като добавяне на защита, защото сертификатите и шифроването навсякъде се появяват заедно. На практика това променя две неща: каква идентичност представя крайната точка и на кой издател нейният партньор е готов да се довери. Нито едно от тях не обвива данните ви втори път. Ако реалната нужда е втори защитен канал, ви трябва втори канал със свои крайни точки, а не още един сертификат.

Три отделни задачи в ръкостискането TLS 1.3

RFC 8446 разделя тези неща и самото разделяне е целият отговор. Съобщението Certificate носи веригата от сертификати на крайната точка. CertificateVerify доказва притежанието на съответния частен ключ и обвързва транскрипта на ръкостискането. Нивото на записите защитава трафика с договорените трафични ключове.

Сменете сертификата и първите две точки се променят. Защитата на записите не се изпълнява два пъти и не става по-силна, защото издателят вече е частен.

Какво всъщност дава частен CA

Той дава контролирана система за идентичност: вие решавате кой получава издаване, вие решавате кои издатели приемат партньорите и можете да отзовате по свой график. Това е наистина полезно, когато управлявате двата края.

Но внася и задължения. Доверието трябва да се разпространява съзнателно, проверката на партньора трябва да остане включена и някой трябва да притежава жизнения цикъл на идентификационните данни. Частният CA не е пряк път покрай нито едно от тези три.

Кога вторият канал е правилният отговор

Представете си приложение, което отваря проверен HTTPS към собствената си услуга, докато пакетите му минават и през VPN. Тази схема има две граници с потенциално различни крайни точки и точно така изглежда вторият защитен канал.

Разликата е важна при шлюза. Ако TLS сесията на приложението завършва на VPN шлюза, а не в приложението, защитата, която сте смятали, че имате отвъд тунела, не е там. Запишете кой завършва всеки канал, преди да предявите това свойство.

Питайте какво променя инсталацията

Заявка за инсталиране на сертификат може да означава три различни неща. Тя може да промени собствената идентичност на клиента, котва на доверие за конкретно приложение или доверие на ниво платформа за всичко на устройството. Те не са равностойни и само последното засяга несвързан софтуер.

Питайте кое от трите е предвидено, после питайте какво трябва да постигне. Ако отговорът е повече шифроване, предложението е насочено към грешния механизъм.

Запишете границите

За всеки канал запишете крайните точки, идентичността, която всяка страна проверява, и какво вижда операторът по средата. След това запишете поведението при отказ: какво става, когато проверката се провали, и какво — когато каналът бъде отказан.

Два реда на една страница обикновено решават спор, който ротацията на сертификат не може.

Решете с три въпроса

Проблемът в това кой се представя за крайна точка ли е, или в това какво става с данните? Трябва ли защитата да продължи отвъд VPN шлюза до конкретно приложение? И можете ли да назовете двете крайни точки, които биха завършили втори канал?

Ако първият въпрос е истинският, оправете идентичността и доверието. Ако вторият или третият е, проектирайте втория канал и оставете сертификата там, където му е мястото.