Propra VPN-atestilo ne estas plia ĉifrada tavolo

Instali propran atestilon sur VPN-finpunkto aspektas kiel aldoni protekton, ĉar atestiloj kaj ĉifrado aperas ĉie kune. Praktike ĝi ŝanğas du aferojn: kiun identecon la finpunkto prezentas, kaj kiun eldonanton ĝia partnero pretas fidi. Neniu el tiuj envolv as vian datumon duan fojon. Se la reala bezono estas dua protektita kanalo, vi bezonas duan kanalon kun propraj finpunktoj, ne alian atestilon.

Tri apartaj taskoj en TLS 1.3-manpremo

RFC 8446 tenas tiujn aparte, kaj la apartigo mem estas la tuta respondo. La mesaĝo Certificate portas la atestilan ĉenon de la finpunkto. CertificateVerify pruvas posedon de la kongrua privata ŝlosilo kaj ligas la manpreman transskribon. La rikorda tavolo protektas trafikon per la intertraktitaj trafikaj ŝlosiloj.

Anstataŭigu la atestilon kaj la unuaj du eroj ŝanĝiĝas. La rikorda protekto ne kuras dufoje, kaj ĝi ne fortiĝas ĉar la eldonanto nun estas privata.

Kion privata CA efektive aĉetas

Ĝi aĉetas kontrolitan identecsistemon: vi decidas, kiu ricevas eldonon, vi decidas, kiujn eldonantojn partneroj akceptas, kaj vi povas revoki laŭ via propra horaro. Tio estas vere utila kiam vi administras ambaŭ finojn.

Ĝi ankaŭ enkondukas devojn. Fido devas esti disdonita konscie, partnera kontrolo devas resti ŝaltita, kaj iu devas posedi la vivciklon de la akreditaĵoj. Privata CA ne estas fuŝvojo ĉirkaŭ iu el tiuj tri.

Kiam dua kanalo estas la ĝusta respondo

Supozu, ke aplikaĵo malfermas kontrolitan HTTPS al sia propra servo dum ĝiaj pakaĵoj ankaŭ vojaĝas tra VPN. Tiu dezajno havas du limojn kun eble malsamaj finpunktoj, kaj tiel aspektas dua protektita kanalo.

La distingo gravas ĉe la pordego. Se la TLS-sesio de la aplikaĵo finiĝas ĉe la VPN-pordego anstataŭ ĉe la aplikaĵo, la protekto, kiun vi pensis havi preter la tunelo, ne estas tie. Skribu, kiu finas ĉiun kanalon, antaŭ ol postuli la econ.

Demandu, kion ŝanğas la instalado

Peto instali atestilon povas signifi tri malsamajn aferojn. Ĝi povas ŝanĝi la propran identecon de la kliento, aplikspecifan fidankron aŭ platforman fidon por ĉio sur la aparato. Tiuj ne estas ekvivalentaj, kaj nur la lasta efikas al ne rilata programaro.

Demandu, kiun el la tri oni celas, poste demandu, kion ĝi devus atingi. Se la respondo estas pli da ĉifrado, la propono celas la malĝustan mekanismon.

Skribu la limojn

Por ĉiu kanalo, notu la finpunktojn, la identecon, kiun ĉiu flanko kontrolas, kaj kion la operatoro en la mezo povas vidi. Poste notu la fiaskokonduton: kio okazas, kiam kontrolo malsukcesas, kaj kio, kiam la kanalo estas rifuzata.

Du linioj sur unu paĝo kutime solvas disputon, kiun atestila rotacio ne povas.

Decidu per tri demandoj

Ĉu la problemo estas, kiu la finpunkto asertas esti, aŭ kio okazas al la datumoj? Ĉu protekto devas daŭri preter la VPN-pordego al specifa aplikaĵo? Kaj ĉu vi povas nomi la du finpunktojn, kiuj finus duan kanalon?

Se la unua demando estas la reala, riparu identecon kaj fidon. Se estas la dua aŭ tria, dizajnu la duan kanalon kaj lasu la atestilon tie, kie ĝi apartenas.