Ένα προσαρμοσμένο πιστοποιητικό VPN δεν είναι επιπλέον επίπεδο κρυπτογράφησης

Η εγκατάσταση προσαρμοσμένου πιστοποιητικού σε ένα άκρο VPN μοιάζει με προσθήκη προστασίας, επειδή τα πιστοποιητικά και η κρυπτογράφηση εμφανίζονται παντού μαζί. Στην πράξη αλλάζει δύο πράγματα: ποια ταυτότητα παρουσιάζει το άκρο και σε ποιον εκδότη είναι πρόθυμος ο ομόλογός του να εμπιστευτεί. Κανένα από τα δύο δεν τυλίγει τα δεδομένα σας δεύτερη φορά. Αν η πραγματική απαίτηση είναι δεύτερο προστατευμένο κανάλι, χρειάζεστε δεύτερο κανάλι με δικά του άκρα, όχι άλλο πιστοποιητικό.

Τρεις ξεχωριστές εργασίες σε μια χειραψία TLS 1.3

RFC 8446 κρατά αυτά χωριστά, και ο ίδιος ο διαχωρισμός είναι η όλη απάντηση. Το μήνυμα Certificate μεταφέρει την αλυσίδα πιστοποιητικών του άκρου. Το CertificateVerify αποδεικνύει την κατοχή του αντίστοιχου ιδιωτικού κλειδιού και δεσμεύει το αντίγραφο της χειραψίας. Το επίπεδο εγγραφών προστατεύει την κίνηση με τα διαπραγματευμένα κλειδιά κίνησης.

Αντικαταστήστε το πιστοποιητικό και τα δύο πρώτα αλλάζουν. Η προστασία εγγραφών δεν εκτελείται δύο φορές και δεν γίνεται ισχυρότερη επειδή ο εκδότης είναι τώρα ιδιωτικός.

Τι αγοράζει στην πραγματικότητα μια ιδιωτική CA

Αγοράζει ένα ελεγχόμενο σύστημα ταυτότητας: εσείς αποφασίζετε ποιος λαμβάνει έκδοση, εσείς αποφασίζετε ποιους εκδότες δέχονται οι ομόλογοι, και μπορείτε να ανακαλέσετε με δικό σας χρονοδιάγραμμα. Αυτό είναι πραγματικά χρήσιμο όταν διαχειρίζεστε και τα δύο άκρα.

Εισάγει όμως και υποχρεώσεις. Η εμπιστοσύνη πρέπει να διανέμεται συνειδητά, η επαλήθευση ομολόγου πρέπει να μένει ενεργή, και κάποιος πρέπει να έχει την ευθύνη του κύκλου ζωής των διαπιστευτηρίων. Μια ιδιωτική CA δεν είναι συντόμευση γύρω από κανένα από τα τρία.

Πότε το δεύτερο κανάλι είναι η σωστή απάντηση

Ας υποθέσουμε ότι μια εφαρμογή ανοίγει επαληθευμένο HTTPS προς τη δική της υπηρεσία ενώ τα πακέτα της ταξιδεύουν και μέσω VPN. Αυτός ο σχεδιασμός έχει δύο όρια με ενδεχομένως διαφορετικά άκρα, και έτσι μοιάζει ένα δεύτερο προστατευμένο κανάλι.

Η διάκριση μετρά στην πύλη. Αν η συνεδρία TLS της εφαρμογής τερματίζει στην πύλη VPN και όχι στην εφαρμογή, η προστασία που νομίζατε ότι έχετε πέρα από τη σήραγγα δεν υπάρχει. Γράψτε ποιος τερματίζει κάθε κανάλι πριν διεκδικήσετε την ιδιότητα.

Ρωτήστε τι αλλάζει η εγκατάσταση

Ένα αίτημα εγκατάστασης πιστοποιητικού μπορεί να σημαίνει τρία διαφορετικά πράγματα. Μπορεί να αλλάξει την ταυτότητα του ίδιου του πελάτη, μια άγκυρα εμπιστοσύνης ειδική για εφαρμογή ή εμπιστοσύνη σε επίπεδο πλατφόρμας για τα πάντα στη συσκευή. Δεν είναι ισοδύναμα, και μόνο το τελευταίο επηρεάζει άσχετο λογισμικό.

Ρωτήστε ποιο από τα τρία εννοείται και μετά τι υποτίθεται να πετύχει. Αν η απάντηση είναι περισσότερη κρυπτογράφηση, η πρόταση στοχεύει λάθος μηχανισμό.

Γράψτε τα όρια

Για κάθε κανάλι, καταγράψτε τα άκρα, την ταυτότητα που επαληθεύει κάθε πλευρά και τι μπορεί να δει ο χειριστής στη μέση. Μετά καταγράψτε τη συμπεριφορά αποτυχίας: τι συμβαίνει όταν η επαλήθευση αποτύχει και τι όταν το κανάλι απορρίπτεται.

Δύο γραμμές σε μία σελίδα συνήθως λύνουν μια διαφωνία που μια περιστροφή πιστοποιητικού δεν μπορεί.

Αποφασίστε με τρεις ερωτήσεις

Είναι το πρόβλημα ποιος ισχυρίζεται ότι είναι το άκρο, ή τι συμβαίνει στα δεδομένα; Πρέπει η προστασία να συνεχιστεί πέρα από την πύλη VPN σε συγκεκριμένη εφαρμογή; Και μπορείτε να ονομάσετε τα δύο άκρα που θα τερμάτιζαν ένα δεύτερο κανάλι;

Αν η πρώτη ερώτηση είναι η πραγματική, διορθώστε ταυτότητα και εμπιστοσύνη. Αν είναι η δεύτερη ή η τρίτη, σχεδιάστε το δεύτερο κανάλι και αφήστε το πιστοποιητικό όπου ανήκει.