Kohandatud VPN-sertifikaat ei ole täiendav krüpteerimiskiht
Sertifikaat muudab identiteeti ja usaldust, mitte krüpteerimiskihtide arvu. Otsustage, küsides, mis ja kus lõpeb.
Kohandatud sertifikaadi paigaldamine VPN-i lõpp-punkti tundub kaitse lisamisena, sest sertifikaadid ja krüpteerimine esinevad kõikjal koos. Praktikas muudab see kahte asja: millist identiteeti lõpp-punkt esitleb ja millist väljaandjat on tema partner valmis usaldama. Kumbki neist ei mässi teie andmeid teist korda. Kui tegelik vajadus on teine kaitstud kanal, vajate teist kanalit oma lõpp-punktidega, mitte veel üht sertifikaati.
Kolm eraldi ülesannet TLS 1.3 käepigistuses
RFC 8446 hoiab need lahus ja just see lahusus on kogu vastus. Certificate-sõnum kannab lõpp-punkti sertifikaadiahelat. CertificateVerify tõestab vastava privaatvõtme valdamist ja seob käepigistuse transkripti. Kirje kiht kaitseb liiklust kokkulepitud liiklusvõtmetega.
Vahetage sertifikaat välja ja kaks esimest muutuvad. Kirje kaitse ei tööta kaks korda ega muutu tugevamaks seepärast, et väljaandja on nüüd privaatne.
Mida privaatne CA tegelikult annab
See annab kontrollitud identiteedisüsteemi: teie otsustate, kellele väljastatakse, teie otsustate, milliseid väljaandjaid partnerid aktsepteerivad, ja saate tühistada oma ajakava järgi. See on tõesti kasulik, kui haldate mõlemat otsa.
See toob kaasa ka kohustused. Usaldust tuleb jaotada teadlikult, partneri kontroll peab jääma sisse lülitatuks ja volituste elutsükkel peab kellegi vastutusele jääma. Privaatne CA ei ole ühegi nende kolme jaoks lühike tee.
Millal on teine kanal õige vastus
Oletame, et rakendus avab oma teenusele kontrollitud HTTPS-i, samal ajal kui tema paketid liiguvad ka läbi VPN-i. Sellisel lahendusel on kaks piiri, mille lõpp-punktid võivad olla erinevad, ja just selline näeb teine kaitstud kanal välja.
Erinevus loeb lüüs. Kui rakenduse TLS-sessioon lõpeb VPN-i lüüsis, mitte rakenduses, siis kaitset, mida arvasite tunnelist kaugemal olevat, seal ei ole. Kirjutage üles, kes iga kanali lõpetab, enne kui seda omadust väidate.
Küsige, mida paigaldus muudab
Sertifikaadi paigaldamise taotlus võib tähendada kolme erinevat asja. See võib muuta kliendi enda identiteeti, rakenduspõhist usaldusankrut või platvormiülest usaldust kõige vastu seadmes. Need ei ole samaväärsed ja ainult viimane mõjutab mitteseotud tarkvara.
Küsige, millist kolmest silmas peetakse, ja siis, mida see peaks saavutama. Kui vastus on rohkem krüpteerimist, on ettepanek suunatud vale mehhanismi pihta.
Kirjutage piirid üles
Iga kanali kohta kirjutage lõpp-punktid, identiteet, mida kumbki pool kontrollib, ja mida vahendaja operaator näha saab. Seejärel kirjutage tõrkekäitumine: mis juhtub, kui kontroll ebaõnnestub, ja mis siis, kui kanal keeldutakse.
Kaks rida ühel lehel lahendavad tavaliselt vaidluse, mida sertifikaadi rotatsioon lahendada ei suuda.
Otsustage kolme küsimusega
Kas probleem on selles, kelleks lõpp-punkt end nimetab, või selles, mis andmetega juhtub? Kas kaitse peab jätkuma üle VPN-i lüüsi konkreetse rakenduseni? Ja kas saate nimetada kaks lõpp-punkti, mis teise kanali lõpetaksid?
Kui tõeline on esimene küsimus, parandage identiteet ja usaldus. Kui teine või kolmas, projekteerige teine kanal ja jätke sertifikaat sinna, kuhu see kuulub.