OAuth y tu mewn i VPN: pa goesau sy’n dal i fod angen TLS

Mae llwybro preifat yn penderfynu pwy sy’n cyrraedd y gweinydd; mae rheolau cludo OAuth yn penderfynu sut mae pob neges yn teithio. Gall porwr, gweinydd awdurdodi, pwynt terfyn tocyn a gweinydd adnoddau i gyd fod y tu ôl i’r un VPN ac eto gyfnewid negeseuon dros goesau gwahanol. Mae gan bob coes ei gofyniad cludo ei hun, ac nid yw’r VPN yn llacio’r un ohonynt. Mae ffin y VPN a ffin y protocol yn ddwy linell wahanol.

Mae’r penderfyniad yn haws os byddwch yn rhoi’r gorau i ofyn a yw’r rhwydwaith yn cael ei ymddiried ynddo ac yn dechrau gofyn pa gyfnewid sy’n croesi pa ffin.

Penderfynwch fesul coes, nid fesul rhwydwaith

Ysgrifennwch y pwyntiau terfyn ar wahân: pwynt terfyn awdurdodi, pwynt terfyn tocyn, URI ailgyfeirio, URL gweinydd adnoddau, pwynt gorffen TLS a phorth VPN. Yna nodwch pa blaid sy’n dechrau pob cais ac i ble mae’r ymateb yn mynd.

Mae VPN sy’n gorffen wrth borth yn amgryptio’r segment i’r porth hwnnw. Gall y cais barhau fel HTTP plaen y tu ôl iddo, ac nid yw’r goes sy’n weddill wedi dod yn HTTPS am fod segment cynharach wedi’i amgryptio. Y parhad hwnnw yw’r goes y mae’r protocol yn poeni amdani. Nid yw amgryptio’r naid gyntaf yn gwneud yr ail naid yn ddiogel.

Mae’r cludo hefyd yn cario gwiriad hunaniaeth gwasanaeth. Mae’r porwr yn dilysu’r dystysgrif ar gyfer URL yr ap; nid yw VPN yn gwneud y dilysiad hwnnw ar ran y porwr, ac nid yw’n gwneud pwynt terfyn heb ei ddilysu yn dderbyniol. Mae’r dystysgrif yn enwi’r pwynt terfyn y mae’r cleient yn credu ei fod yn ei alw. Nid yw twnnel i borth yn ailenwi’r pwynt terfyn hwnnw nac yn ei ddilysu.

Yr ymateb awdurdodi a’r URI ailgyfeirio

Mae arfer gorau diogelwch cyfredol OAuth yn gwahardd trosglwyddo ymatebion awdurdodi dros gysylltiadau heb eu hamgryptio. Mae hynny’n cwmpasu’r ailgyfeiriad sy’n cario’r cod awdurdodi neu’r tocynnau yn ôl i’r cleient, nid y cais cychwynnol yn unig.

Mae’r un arweiniad yn gwahardd URIs ailgyfeirio HTTP ac eithrio’r achos loopback penodol ar gyfer cleient brodorol. Nid yw enw gwesteiwr mewnol yn creu esemptiad newydd, ac mae enw DNS sy’n datrys y tu mewn i’r VPN yn unig yn dal i fod yn URL HTTP os yw’r cynllun yn dweud hynny. Gwiriwch y cynllun yn yr URI cofrestredig, nid enw’r gwesteiwr yn unig.

Cofrestrwch yr URI ailgyfeirio HTTPS uniongyrchol gyda’r gweinydd awdurdodi a chadwch ddilysu tystysgrifau wedi’i alluogi ar y cleient. Mae llwybr byr datblygu sy’n atal y gofyniad HTTPS yn cynhyrchu llif sy’n ymddwyn yn wahanol i’r ffurfweddiad cynhyrchu y dylai ei efelychu.

Y pwynt terfyn tocyn a cheisiadau tocyn cludwr

Mae’r cais tocyn yn cario manylion mewngofnodi neu god y gellir ei gyfnewid am fynediad. Mae ei anfon dros goes heb ei diogelu yn dinoethi deunydd y bydd y gweinydd adnoddau yn ymddiried ynddo nes ymlaen, hyd yn oed os yw’r rhwydwaith o amgylch yn breifat. Gall dirprwy sy’n gallu darllen y cais ddarllen y cymhwyster y mae’n ei gario hefyd.

Ar gyfer ceisiadau adnoddau gyda thocyn cludwr, mae RFC 6750 yn trin TLS fel rhwymedigaeth i’w weithredu a’i ddefnyddio ar gyfer y fanyleb honno. Nid yw galw is-rwydwaith y swyddfa yn ymddiriedadwy yn yr esemptiad protocol cyffredinol sydd ei angen ar osodiad cludwr testun plaen.

Defnyddiwch yr URLs pwynt terfyn diogel a ddogfennwyd ar gyfer y ddwy goes. Os yw llyfrgell yn gwrthod galw pwynt terfyn tocyn HTTP, mae’r gwrthodiad hwnnw’n fanyleb yn gweithio, nid nam ffurfweddu i’w osgoi. Cofnodwch yr URL hwnnw yng nghyfluniad y cleient yn lle ei ddeillio ar amser rhedeg.

Ble mae TLS yn gorffen a beth mae hynny’n ei adael

Os yw TLS yn gorffen mewn ffryntend awdurdodedig, enwch y ffryntend hwnnw ac adolygwch y llwybr oddi yno i’r ap. Mae’r ffryntend yn mynd yn gyfrifol am anfon ymlaen, ymddiriedaeth a chyfrinachedd ar y segment sy’n weddill, a dylai pensaernïaeth gefnogir y gwasanaeth ddisgrifio’r trefniant hwnnw.

Nid yw VPN mewn man arall ar y llwybr yn setlo’r cyfrifoldebau hynny. Nid yw ychwaith yn dweud wrthych a yw URL yr ap y mae’r porwr yn ei weld yn cyfateb i’r dystysgrif y mae’r ffryntend yn ei chyflwyno.

Ar gyfer gosodiad mewnol, cofnodwch y pwynt gorffen a’r hunaniaeth y mae’n ei chyflwyno. Mae ffryntend sy’n gorffen TLS gyda thystysgrif ar gyfer enw gwahanol yn creu rhybudd porwr y mae gweithredwyr yn aml yn ei atal yn lle ei drwsio.

Mae esemptiad loopback brodorol yn gul

Mae esemptiad ailgyfeirio loopback yn ymwneud â galwad yn ôl ar ddyfais yr defnyddiwr ei hun, lle mae’r cleient a’r porwr yn rhannu’r ddyfais honno. Mae’r trefniant hwnnw’n perthyn i alwad yn ôl ar un ddyfais, ac nid yw’n trwyddedu gwasanaethu gweinydd awdurdodi arferol nac API sy’n cario tocynnau dros HTTP i is-rwydwaith swyddfa.

Cadwch yr esemptiad o fewn math y cleient a’r alwad yn ôl y mae’n ei disgrifio. Mae ei gymhwyso i ap gwe, gwasanaeth mewnol a rennir neu URI ailgyfeirio ar westai arall yn newid y gosodiad, nid yr esemptiad.

Profwch y llif gwirioneddol ar bob ffin a’i gymharu â math y cleient. Nid yw ailgyfeiriad sy’n gweithio yn dweud dim am a yw pob coes a gariai docyn wedi defnyddio’r amddiffyniad gofynnol, ac nid yw eicon VPN gwyrdd yn dweud dim am gynllun y cais nesaf.