VPN TLS έναντι IPsec: τα πέντε πεδία που αξίζει να ελέγξετε

Η κατάταξη VPN TLS έναντι VPN IPsec κατά οικογένεια πρωτοκόλλου απαντά σε μια ερώτηση που κανείς δεν έθεσε και συνήθως επικαλείται μια κατασκευή που και οι δύο οικογένειες εγκατέλειψαν χρόνια πριν. Αυτό που μπορεί πραγματικά να αξιολογήσει ένας ελεγκτής είναι η διαπραγματευμένη προστασία, η ταυτότητα του ομοτίμου, το μοντέλο πελάτη και η εκτεθειμένη υπηρεσία. Αυτά τα τέσσερα είναι ορατά σε μια ανάπτυξη και κανένα δεν προκύπτει από την ετικέτα του προϊόντος. Ζητήστε πέντε πεδία και η συζήτηση γίνεται συγκεκριμένη.

Πέντε πεδία, και η ετικέτα δεν είναι ένα από αυτά

Το πρώτο πεδίο είναι η υποστηριζόμενη έκδοση λογισμικού, γιατί μια περιγραφή πρωτοκόλλου χωρίς έκδοση είναι φυλλάδιο. Το δεύτερο είναι η διαπραγματευμένη έκδοση πρωτοκόλλου, που καθορίζει ποιες κατασκευές είναι καν διαθέσιμες. Το τρίτο είναι η σουίτα προστασίας, το τέταρτο η μέθοδος ελέγχου ταυτότητας για ομότιμο και χρήστη, και το πέμπτο το εύρος πρόσβασης που παρέχει το προϊόν μετά την αποδοχή.

Μια ετικέτα VPN SSL καλύπτει τουλάχιστον τρία διαφορετικά προϊόντα: έναν πλήρη πελάτη δικτύου, έναν διαμεσολαβητή εφαρμογών και μια παλιά πύλη βασισμένη σε πρόγραμμα περιήγησης. Εκθέτουν διαφορετικές υπηρεσίες και αποτυγχάνουν διαφορετικά, οπότε η ετικέτα δεν μπορεί να αντικαταστήσει το πεδίο εύρους.

Τι αλλάζει πραγματικά η πιστοποιημένη κρυπτογράφηση

Το TLS 1.3 απαιτεί πιστοποιημένη κρυπτογράφηση, που αφαιρεί την παλαιότερη κατασκευή MAC-then-encrypt από το πρωτόκολλο αντί να την αφήνει προαιρετική. Το IPsec ESP έχει σουίτες πιστοποιημένης κρυπτογράφησης εξίσου καιρό, με το AES-GCM ορισμένο στο δικό του RFC. Και στις δύο οικογένειες η εγγύηση προέρχεται από τη διαπραγματευμένη σουίτα και όχι από το όνομα της οικογένειας, γι' αυτό η λίστα πεδίων ξεκινά με μια έκδοση. Ένας ελεγκτής που δεν μπορεί να ονομάσει τη σουίτα δεν έχει τίποτα να αξιολογήσει.

Γι' αυτό η ιστορική σύγκριση είναι παραπλανητική. Μια ανάπτυξη καρφιτσωμένη σε παλιά έκδοση TLS με σουίτα CBC και μια που εκτελεί TLS 1.3 με σουίτα AEAD δεν είναι η ίδια στάση ασφαλείας, αν και οι δύο είναι VPN TLS. Η ίδια διάσπαση υπάρχει στην πλευρά IPsec μεταξύ μιας σύγχρονης σουίτας ESP και ενός παλαιότερου συνδυασμού.

Διαβάστε τις διαπραγματευμένες τιμές αντί για τη διαμόρφωση που σκοπεύατε. Οι παρακάτω εντολές δείχνουν σε τι συμφώνησαν πραγματικά ένα ζωντανό τελικό σημείο και ένα ζωντανό τούνελ.

openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sas

Αν το τελικό σημείο δεν θέλει να διαπραγματευτεί TLS 1.3, αυτό είναι εύρημα και όχι προτίμηση. Αν το τούνελ απαριθμεί μια σουίτα που δεν περιμένατε, η διαμόρφωση που μετρά είναι αυτή που επέλεξαν οι ομότιμοι, όχι αυτή στο πρότυπο.

Η ταυτότητα του ομοτίμου είναι ξεχωριστό ζήτημα

Η κρυπτογράφηση χωρίς επαληθευμένο ομότιμο προστατεύει την κίνηση από παρατηρητές και την παραδίδει σε όποιον απάντησε στη σύνδεση. Ο έλεγχος ταυτότητας ομοτίμου ρωτά ποια ταυτότητα αναμένεται, ποιο υλικό εμπιστοσύνης την επικυρώνει και πώς συμπεριφέρεται ο πελάτης όταν η απάντηση δεν ταιριάζει. Μια αλυσίδα πιστοποιητικών, ένα καρφιτσωμένο κλειδί και ένα προκοινόμενο μυστικό είναι τρεις διαφορετικές απαντήσεις με τρία διαφορετικά λειτουργικά κόστη.

Στη συνέχεια κάντε τις ίδιες ερωτήσεις για τον χρήστη ή τη συσκευή. Μια πύλη που ελέγχει το μηχάνημα και δέχεται οποιονδήποτε χρήστη, ή το αντίστροφο, έχει μια συγκεκριμένη στάση που πρέπει να καταγραφεί και όχι να υποτεθεί. Τα δικαιώματα πόρων που εφαρμόζονται μετά την αποδοχή ανήκουν στο ίδιο πεδίο, γιατί ο έλεγχος ταυτότητας δεν είναι εξουσιοδότηση.

Η διατήρηση των ελέγχων ονόματος κεντρικού υπολογιστή και πιστοποιητικού έχει μεγαλύτερη σημασία από την οικειότητα του παραθύρου σύνδεσης. Ένας πελάτης που έχει ρυθμιστεί να αγνοεί την επαλήθευση έχει αφαιρέσει το μόνο βήμα που ξεχωρίζει την πύλη σας από μια πειστική απομίμηση.

Το όριο που εκθέτει το προϊόν

Μια πύλη χωρίς πελάτη διαμεσολαβεί επιλεγμένες λειτουργίες εφαρμογών μέσω της πύλης, ώστε ο χρήστης να φτάνει σε διεπαφή και όχι σε δίκτυο. Ένας πελάτης πλήρους τούνελ μεταφέρει ό,τι επιλέγουν οι διαδρομές και η πολιτική φιλτραρίσματός του, που είναι πολύ μεγαλύτερη επιφάνεια. Η σύγκριση των δύο με βάση την ισχύ του πρωτοκόλλου χάνει τη διαφορά στο τι μπορεί να φτάσει ένας επιτιθέμενος μέσω αυτών. Το ένα εκθέτει διεπαφή εφαρμογής, το άλλο δρομολογημένο δίκτυο, και τα δύο απαιτούν διαφορετικούς ελέγχους.

Ρωτήστε ποια υπηρεσία είναι εκτεθειμένη, ποιες λειτουργίες είναι εξουσιοδοτημένες και σε τι ακούει η ίδια η πύλη. Μια διεπαφή διαχείρισης προσβάσιμη από την ίδια διεύθυνση με την πύλη χρηστών είναι εύρημα ανάπτυξης και καμία επιλογή πρωτοκόλλου δεν το αντισταθμίζει.

Το εύρος ανά εφαρμογή περιορίζει περαιτέρω την επιφάνεια και αλλάζει επίσης τη συμπεριφορά αποτυχίας όταν πέσει το τούνελ. Ένας σχεδιασμός που υποθέτει εμβέλεια πλήρους τούνελ σπάει με τρόπους που ένας σχεδιασμός ανά εφαρμογή δεν γνωρίζει, και το φορτίο υποστήριξης ακολουθεί.

Αποφασίστε το αποτέλεσμα αποτυχίας και τον κύκλο ζωής

Το τι συμβαίνει όταν ο έλεγχος ταυτότητας ή η προστασία δεν είναι διαθέσιμα είναι απόφαση πολιτικής που ανήκει στον έλεγχο. Ένα μπλοκαρισμένο αποτέλεσμα και μια ανακοίνωτη άμεση επιστροφή έχουν διαφορετικές συνέπειες, και η διαφορά είναι αόρατη σε μια λίστα λειτουργιών. Δηλώστε την προβλεπόμενη συμπεριφορά δίπλα στον πόρο που προστατεύει.

Συμπεριλάβετε τον κύκλο ζωής ενημερώσεων και υποστήριξης της πύλης, τις ενεργοποιημένες εξωτερικές λειτουργίες της και τη διαδρομή ενημέρωσης για τους πελάτες. Μια σωστή επιλογή πρωτοκόλλου δεν κάνει ασφαλή μια κακώς αναπτυγμένη υπηρεσία, και τα περισσότερα περιστατικά ζουν σε αυτό το κενό και όχι στη σουίτα.

Γράψτε τα πέντε πεδία, την πολιτική αποτυχίας και τον ιδιοκτήτη του κύκλου ζωής σε μία σελίδα. Αυτή η σελίδα είναι ένας έλεγχος· μια σύγκριση οικογενειών πρωτοκόλλων είναι γνώμη.