HTTPS σε τοπική IP: ταυτότητα πιστοποιητικού ή όνομα κεντρικού υπολογιστή;

Η υπηρεσία σας στο https://10.60.0.25 μπορεί να έχει πιστοποιημένο TLS ακόμη και χωρίς όνομα DNS. Η διεύθυνση είναι η ταυτότητα που πρέπει να επικυρώσει ο πελάτης και το πιστοποιητικό πρέπει να την περιγράφει ακριβώς. Η απόφαση είναι αν αυτή η διεύθυνση είναι αρκετά σταθερή ώστε να αποτελεί ταυτότητα ή αν ένα όνομα κεντρικού υπολογιστή θα ήταν ευκολότερο στη συντήρηση. Το VPN απαντά στην προσβασιμότητα· δεν απαντά σε αυτό.

Ρυθμίστε σωστά την ταυτότητα και την εμπιστοσύνη και μια διεύθυνση URL βασισμένη σε IP είναι νόμιμος σχεδιασμός.

Τι επικυρώνει πραγματικά ο πελάτης

Ο πελάτης συγκρίνει την ταυτότητα αναφοράς στη διεύθυνση URL με τα εναλλακτικά ονόματα υποκειμένου του πιστοποιητικού. Για μια διεύθυνση IP αυτό σημαίνει μια καταχώριση iPAddress ίση με τη διεύθυνση. Ένα φιλικό κοινό όνομα δεν υποκαθιστά αυτό.

RFC 9525 διαχωρίζει τις ταυτότητες διεύθυνσης IP από τα ονόματα DNS και ορίζει τον κανόνα αντιστοίχισης. Αν η διεύθυνση μπει μόνο στην ετικέτα υποκειμένου ή ως καταχώριση τύπου DNS, δεν προκύπτει αντιστοίχιση. Γι' αυτό το SAN είναι το πεδίο που πρέπει να ελεγχθεί όταν εμφανιστεί προειδοποίηση.

Η εμπιστοσύνη είναι ένας δεύτερος, ανεξάρτητος έλεγχος. Μια αντιστοίχιση ονόματος δεν διορθώνει μια μη αξιόπιστη αλυσίδα, ένα ληγμένο πιστοποιητικό ή ένα πιστοποιητικό που εκδόθηκε για άλλο σκοπό.

Απόφαση πρώτη: είναι η διεύθυνση αρκετά σταθερή ώστε να αποτελεί ταυτότητα

Αν η διεύθυνση είναι σταθερή για όλη τη διάρκεια της εγκατάστασης, ένα πιστοποιητικό SAN IP είναι απλό και ειλικρινές. Αν η υπηρεσία μπορεί να μετακινηθεί, κάθε μετακίνηση γίνεται αντικατάσταση πιστοποιητικού και συντονισμένη ενημέρωση πελατών.

Ένα σταθερό όνομα κεντρικού υπολογιστή μειώνει αυτή τη σύζευξη. Οι πελάτες χρησιμοποιούν το όνομα, το εγκεκριμένο DNS το αντιστοιχίζει στην τρέχουσα διεύθυνση και μια αλλαγή διεύθυνσης παύει να είναι αλλαγή ταυτότητας. Το πιστοποιητικό εξακολουθεί να χρειάζεται ανανέωση, αλλά η διεύθυνση URL δεν αλλάζει.

Μια διαχειριζόμενη καταχώριση στο αρχείο hosts μπορεί να παρέχει την αντιστοίχιση σε μικρό περιβάλλον. Προσθέτει ευθύνη διανομής· δεν αντικαθιστά την επαλήθευση TLS.

Απόφαση δεύτερη: πώς θα εμπιστεύεται ο πελάτης τον εκδότη

Για μια ιδιωτική CA, διανείμετε την άγκυρα εμπιστοσύνης στις προβλεπόμενες συσκευές μέσω εγκεκριμένου μηχανισμού. Μην εκπαιδεύετε τους χρήστες να παρακάμπτουν προειδοποιήσεις ή να εγκαθιστούν πιστοποιητικό που τους δίνει μια σελίδα σύνδεσης. Αν θέλετε δημόσια αξιόπιστο πιστοποιητικό, ελέγξτε τους τρέχοντες κανόνες του εκδότη για ιδιωτικές διευθύνσεις πριν σχεδιάσετε γύρω από αυτό. Οι περισσότεροι δημόσιοι εκδότες δεν θα επικυρώσουν μια ιδιωτική IP ως δημόσια ταυτότητα.

Εξετάστε το πραγματικό πρόγραμμα περιήγησης ή την εφαρμογή. Το αποθετήριο εμπιστοσύνης και η συμπεριφορά επικύρωσής του μετράνε περισσότερο από τη γενική τεκμηρίωση πιστοποιητικών του λειτουργικού συστήματος. Ελέγξτε το στην πραγματική συσκευή, όχι μόνο στην κονσόλα.

Η πύλη VPN μπορεί να μην είναι το μηχάνημα που εκτελεί την εφαρμογή ιστού, οπότε μην υποθέτετε ότι το πιστοποιητικό της σήραγγας έχει σχέση με αυτό.

Σχεδιάστε την αλλαγή διεύθυνσης πριν συμβεί

Αν το 10.60.0.25 γίνει 10.60.0.40, το παλιό πιστοποιητικό δεν περιγράφει πλέον τη διεύθυνση URL. Σχεδιάστε την αντικατάσταση και την ενημέρωση πελατών μαζί και μην απενεργοποιείτε ποτέ την επαλήθευση κατά τη μετακίνηση.

Επιλέξτε την ταυτότητα που θα πληκτρολογούν οι χρήστες ή θα ρυθμίζουν οι εφαρμογές και μετά ευθυγραμμίστε γύρω της την έκδοση, την εμπιστοσύνη, την ανάπτυξη και την ανανέωση. Μια προσβάσιμη σελίδα με προειδοποίηση που αγνοήθηκε δεν είναι το ίδιο αποτέλεσμα με μια υπηρεσία της οποίας την ταυτότητα επαληθεύει ο πελάτης.