Mae TLS yn teithio y tu mewn i’r sianel reoli, nid trwy’r twnnel cyfan

Mae gweld y gair TLS yn nisgrifiad VPN a chasglu y bydd dirprwy gwe yn deall y traffig yn llwybr byr cyffredin. Y tu mewn i’r protocol hwn mae’r cymheiriaid yn cyfnewid eu pecynnau eu hunain, ac mae TLS yn rhedeg fel rhan o un sianel o fewn y gyfnewidfa honno. Mae’r llwyth defnyddiol y mae’r defnyddiwr yn poeni amdano yn teithio mewn fformat neges gwahanol, a dyna pam nad yw’r ddau byth yn cyd-fynd â sesiwn HTTPS gyffredin.

Daw’r amlen yn gyntaf

Mae pob pecyn twnnel yn dechrau â phennawd y protocol ei hun: math o neges, dynodydd allwedd, ac, dros gludydd llif beit, rhagddodiad hyd sy’n nodi ble mae’r pecyn yn gorffen. Ni all darllenydd nad yw’n dosrannu’r amlen honno wybod ble mae’r maes nesaf yn dechrau.

outer transport (UDP datagram or TCP stream)
  -> OpenVPN header (opcode, key id, length where needed)
    -> control message (reliability wrapper, TLS exchange)
    -> data message (protected inner packet)

Mae’r braslun hwnnw’n fap yn hytrach na thabl beit, oherwydd mae’r meysydd union yn dibynnu ar y math o neges, er bod yr octed cyntaf bob amser yn pacio’r opcode a’r dynodydd allwedd gyda’i gilydd. Bwrgwneud math o neges o’r rhif port yw sut mae dadgodwyr yn gorffen camenwi’r hyn a welant. Y drefn sy’n bwysig ar gyfer diagnosis: cludiant, yna amlen y protocol, yna un o ddau fath o waith. Darllenwch yr amlen cyn ffurfio unrhyw farn am yr hyn sy’n dilyn. Mae dadgodwr sy’n dechrau yn y lle anghywir yn cynhyrchu nonsens hyderus.

Mae’r haen dibynadwyedd yn perthyn i’r protocol

Mae angen dosbarthu trefnus a chydnabyddedig ar negeseuon rheoli, ac mae’r protocol yn darparu hynny ei hun gyda chydnabyddiadau ac ail-drosglwyddiadau. Gall cydnabyddiad gyrraedd fel neges ei hun neu deithio gyda neges reoli arall, sy’n gwneud olion yn edrych yn afreolaidd i unrhyw un sy’n disgwyl un gyfnewidfa lân.

Y fantais yw bod yr handshake TLS yn cael cludydd dibynadwy hyd yn oed pan fo’r cludiant allanol yn UDP. Y gost yw y gall un datagram gynnwys dim ond rhan o’r sgwrs honno, felly mae trin hynny fel cofnod TLS annibynnol yn cynhyrchu nonsens. Rhaid i ailgydosod ddigwydd ar haen y protocol. Dyna pam nad yw pecyn a ddaliwyd yn edrych fel cam handshake cyflawn yn aml.

Nid yw newid y cludiant allanol i TCP yn dileu’r haen hon. Mae cludiant dibynadwy yn golygu llai o ail-drosglwyddiadau ar lefel y protocol, nid bod y fframio’n diflannu nac bod y traffig yn dod yn HTTP.

Mae pecynnau data yn defnyddio fformat gwahanol

Unwaith y bydd y sesiwn yn bodoli, mae’r llwyth defnyddiol yn cyrraedd fel negeseuon data sy’n cario pecynnau IP mewnol neu fframiau Ethernet. Cânt eu hamddiffyn â’u hallweddau eu hunain a’u prosesu eu hunain, ac nid ydynt yn gofnodion cymhwysiad TLS mewn unrhyw ystyr y byddai llyfrgell TLS yn ei dderbyn.

Mae’r gwahanu hwnnw’n weladwy mewn cyfluniad: mae gan y sianel reoli a’r sianel ddata osodiadau seiffr ar wahân, felly nid yw llinell log sy’n enwi un yn dweud dim wrthych am y llall. Mae darllen seiffr rheoli cryf fel prawf o seiffr data cryf yn gamgymeriad adrodd cyffredin.

Cadwch gamsyniad cysylltiedig allan o’r esboniad hefyd. Nid yw TLS yn sianel allwedd cyhoeddus yn eistedd wrth ymyl sianel ddata gymesur, oherwydd mae TLS ei hun yn amddiffyn ei gofnodion yn gymesur unwaith y bydd allweddau wedi’u sefydlu. Y gwahaniaeth go iawn yw rôl a fformat pecyn, nid pa fath o griffograffeg y mae pob ochr yn ei defnyddio.

Pam na all dirprwy HTTPS helpu

Mae dirprwy sy’n terfynu TLS yn disgwyl llif cofnodion TLS ac yna protocol cymhwysiad y tu mewn iddo. Mae sianel reoli’r protocol hwn yn cael ei chario y tu mewn i’w fframio ei hun gyda haen dibynadwyedd o’i chwmpas, felly mae dirprwy sy’n terfynu yn darllen y fframio hwnnw fel mewnbwn llygredig.

Gall trosglwyddydd tryloyw sy’n pasio beitiau neu ddatagramau heb eu dehongli weithio, ar yr amod nad yw’n ailysgrifennu nac yn ailgydosod y llif. Y cwestiwn i’w ofyn am unrhyw gyfryngwr yw a yw’n trosglwyddo’r cludiant a’r fframio gwirioneddol, nid a yw’n cefnogi TLS yn rhywle. Gofynnwch hynny cyn i chi dreulio noson ar reolau dirprwy. Mae’r rhan fwyaf o’r methiannau yma’n bensaernïol yn hytrach na gosodiad ar goll.

Darllen ôl yn gywir

Disgwyliwch gyfnewidfa reoli yn gyntaf, yna llawer mwy o negeseuon data, y ddau’n rhannu un cludiant. Os yw’r cyfnod rheoli’n gorffen ac mae’r cyfnod data’n aros, mae’r nam yn ymwneud ag allweddau, llwybro neu hidlo’r llwybr data yn hytrach na’r handshake. Daliwch ychydig o negeseuon data a gwiriwch a ydyn nhw’n gadael y cleient o gwbl. Mae’r un sylw hwnnw’n hollti’r chwilio yn ei hanner.

Nid yw disgrifiadau hanesyddol o ddulliau allwedd yn nogfennaeth y protocol yn golygu bod rhyddhau penodol yn dal i gefnogi pob hen fformat. Gwiriwch y fersiwn yr ydych yn ei redeg cyn adeiladu disgwyliad ar baragraff sy’n disgrifio sut roedd pethau’n arfer gweithio.