Nid yw tystysgrif VPN addasedig yn haen amgryptio ychwanegol

Mae gosod tystysgrif addasedig ar bwynt terfyn VPN yn teimlo fel ychwanegu amddiffyniad, oherwydd bod tystysgrifau ac amgryptio yn ymddangos gyda'i gilydd ym mhobman. Yn ymarferol mae'n newid dau beth: pa hunaniaeth mae'r pwynt terfyn yn ei chyflwyno, a pha ddyroddwr y mae ei gymar yn fodlon ymddiried ynddo. Nid yw'r naill na'r llall yn lapio'ch data eildro. Os mai'r gwir ofyniad yw ail sianel warchodedig, mae angen ail sianel gyda'i phwyntiau terfyn ei hun, nid tystysgrif arall.

Tri gwaith ar wahân mewn handshake TLS 1.3

RFC 8446 yn cadw'r rhain ar wahân, a'r gwahanu ei hun yw'r ateb cyfan. Mae neges Certificate yn cario cadwyn tystysgrif y pwynt terfyn. Mae CertificateVerify yn profi meddiant o'r allwedd breifat cyfatebol ac yn rhwymo trawsgrifiad yr handshake. Mae'r haen gofnod yn diogelu traffig gan ddefnyddio'r allweddi traffig a drafodwyd.

Newidiwch y dystysgrif ac mae'r ddau eitem gyntaf yn newid. Nid yw amddiffyniad cofnod yn rhedeg ddwywaith, ac nid yw'n cryfhau oherwydd bod y dyroddwr bellach yn breifat.

Beth mae CA preifat yn ei brynu mewn gwirionedd

Mae'n prynu system hunaniaeth a reolir: chi sy'n penderfynu pwy sy'n cael ei ddyroddi, chi sy'n penderfynu pa ddyroddwyr y mae cymheiriaid yn eu derbyn, a gallwch ddadwneud ar eich amserlen eich hun. Mae hynny'n wirioneddol ddefnyddiol pan fyddwch yn rhedeg y ddau ben.

Mae hefyd yn mewnforio rhwymedigaethau. Rhaid dosbarthu ymddiriedaeth yn fwriadol, rhaid i wirio cymar aros ymlaen, a rhaid i rywun fod yn berchen ar gylch bywyd yr ystyriaethau. Nid yw CA preifat yn llwybr byr o amgylch unrhyw un o'r tri.

Pryd mae ail sianel yn ateb cywir

Tybiwch fod cymhwysiad yn agor HTTPS wedi'i wirio i'w wasanaeth ei hun tra bo ei becynnau hefyd yn teithio drwy VPN. Mae gan y dyluniad hwnnw ddwy ffin â phwyntiau terfyn a all fod yn wahanol, a dyna sut mae ail sianel warchodedig yn edrych.

Mae'r gwahaniaeth yn bwysig yn y porth. Os yw sesiwn TLS y cymhwysiad yn gorffen wrth borth VPN yn hytrach nag wrth y cymhwysiad, nid yw'r amddiffyniad yr oeddech yn meddwl oedd gennych y tu hwnt i'r twnnel yno. Ysgrifennwch pwy sy'n gorffen pob sianel cyn hawlio'r eiddo.

Gofynnwch beth mae'r gosodiad yn ei newid

Gall cais i osod tystysgrif olygu tri pheth gwahanol. Gall newid hunaniaeth y cleient ei hun, angor ymddiriedaeth sy’n benodol i gymhwysiad, neu ymddiriedaeth ar draws y platfform ar gyfer popeth ar y ddyfais. Nid yw'r rhain yn gyfwerth, a dim ond yr olaf sy'n effeithio ar feddalwedd annibynnol.

Gofynnwch pa un o'r tri sy'n fwriad, yna gofynnwch beth y dylai ei gyflawni. Os mai'r ateb yw mwy o amgryptio, mae'r cynnig wedi'i anelu at y mecanwaith anghywir.

Ysgrifennwch y ffiniau

Ar gyfer pob sianel, cofnodwch y pwyntiau terfyn, yr hunaniaeth y mae pob ochr yn ei gwirio, a'r hyn y gall y gweithredwr yn y canol ei weld. Yna cofnodwch yr ymddygiad methiant: beth sy'n digwydd pan fydd gwirio'n methu, a beth sy'n digwydd pan wrthodir y sianel.

Mae dwy linell ar un dudalen fel arfer yn setlo dadl na all cylchdroi tystysgrif ei setlo.

Penderfynwch gyda thri chwestiwn

Ai'r broblem yw pwy y mae'r pwynt terfyn yn honni ei fod, neu beth sy'n digwydd i'r data? Oes angen i amddiffyniad barhau y tu hwnt i borth VPN i gymhwysiad penodol? A allwch enwi'r ddau bwynt terfyn a fyddai'n gorffen ail sianel?

Os mai'r cwestiwn cyntaf yw'r gwir un, trwsiwch hunaniaeth ac ymddiriedaeth. Os mai'r ail neu'r trydydd yw hi, dyluniwch yr ail sianel a gadewch y dystysgrif lle mae'n perthyn.