Prilagođeni VPN certifikat nije dodatni sloj šifriranja

Instaliranje prilagođenog certifikata na VPN endpoint izgleda kao dodavanje zaštite, jer se certifikati i šifriranje svuda pojavljuju zajedno. U praksi to mijenja dvije stvari: koji identitet endpoint predstavlja i kojem izdavaocu je njegov partner spreman vjerovati. Ni jedno od toga ne obavija vaše podatke drugi put. Ako je stvarna potreba drugi zaštićeni kanal, treba vam drugi kanal sa svojim endpointima, a ne još jedan certifikat.

Tri odvojena posla u TLS 1.3 handshakeu

RFC 8446 razdvaja te stvari, i samo to razdvajanje je cijeli odgovor. Poruka Certificate nosi lanac certifikata endpointa. CertificateVerify dokazuje posjedovanje odgovarajućeg privatnog ključa i veže transkript handshakea. Sloj zapisa štiti saobraćaj dogovorenim ključevima saobraćaja.

Zamijenite certifikat i prve dvije stavke se mijenjaju. Zaštita zapisa se ne izvodi dvaput i ne postaje jača zato što je izdavalac sada privatni.

Šta privatni CA zaista daje

Daje kontrolisan sistem identiteta: vi odlučujete kome se izdaje, vi odlučujete koje izdavaoce partneri prihvataju, i možete opozvati po svom rasporedu. To je zaista korisno kada vodite oba kraja.

Ali donosi i obaveze. Povjerenje se mora svjesno distribuirati, provjera partnera mora ostati uključena, a životnim ciklusom akreditiva mora neko upravljati. Privatni CA nije prečica oko nijedne od te tri stvari.

Kada je drugi kanal pravi odgovor

Zamislite aplikaciju koja otvara provjereni HTTPS prema sopstvenoj usluzi dok njeni paketi putuju i kroz VPN. Takav dizajn ima dvije granice s potencijalno različitim endpointima, i tako izgleda drugi zaštićeni kanal.

Razlika je važna na gatewayu. Ako TLS sesija aplikacije završava na VPN gatewayu, a ne u aplikaciji, zaštita za koju ste mislili da je imate iza tunela nije tu. Zapišite ko završava svaki kanal prije nego što tvrdite to svojstvo.

Pitajte šta instalacija mijenja

Zahtjev za instaliranje certifikata može značiti tri različite stvari. Može promijeniti vlastiti identitet klijenta, trust anchor specifičan za aplikaciju ili povjerenje na nivou platforme za sve na uređaju. To nije isto, i samo zadnje utiče na nepovezani softver.

Pitajte koje je od tri namjeravano, pa pitajte šta treba postići. Ako je odgovor više šifriranja, predlog je usmjeren na pogrešan mehanizam.

Zapišite granice

Za svaki kanal zapišite endpointe, identitet koji svaka strana provjerava i šta operater u sredini može vidjeti. Zatim zapišite ponašanje pri kvaru: šta se dešava kad provjera ne uspije i šta kad kanal bude odbijen.

Dva reda na jednoj stranici obično riješe raspravu koju rotacija certifikata ne može.

Odlučite s tri pitanja

Je li problem u tome koga endpoint tvrdi da jest, ili u tome šta se dešava s podacima? Treba li zaštita nastaviti iza VPN gatewaya do konkretne aplikacije? I možete li navesti dva endpointa koja bi završila drugi kanal?

Ako je prvo pitanje pravo, popravite identitet i povjerenje. Ako je drugo ili treće, dizajnirajte drugi kanal i ostavite certifikat gdje mu je mjesto.