VPN ziurtagiri pertsonalizatu bat ez da zifratze geruza gehigarri bat
Ziurtagiri batek identitatea eta konfiantza aldatzen ditu, ez zifratze geruzen kopurua. Erabaki zer eta non amaitzen den galdetuz.
VPN muturrean ziurtagiri pertsonalizatu bat instalatzeak babesa gehitzea dirudi, ziurtagiriak eta zifratzea nonahi elkarrekin agertzen direlako. Praktikan bi gauza aldatzen ditu: muturrak zein identitate aurkezten duen eta bere bikoteak zein igorlerekin fidatzeko prest dagoen. Bi horietako batek ere ez ditu zure datuak bigarren aldiz biltzen. Benetako beharra bigarren kanal babestu bat bada, bere muturrak dituen bigarren kanal bat behar duzu, ez beste ziurtagiri bat.
Hiru lan bereizi TLS 1.3 esku-emate batean
RFC 8446 horiek bereizten ditu, eta bereizketa hori da erantzun osoa. Certificate mezuak muturraren ziurtagiri-katea eramaten du. CertificateVerify-ek dagokion gako pribatuaren jabetza frogatzen du eta esku-ematearen transkripzioa lotzen du. Erregistro geruzak trafikoa babesten du negoziatutako trafiko gakoekin.
Aldatu ziurtagiria eta lehen bi elementuak aldatzen dira. Erregistroen babesa ez da bitan exekutatzen, eta ez da indartsuagoa egiten igorlea orain pribatua delako.
Zer erosten du CA pribatu batek benetan
Identitate sistema kontrolatu bat erosten du: zuk erabakitzen duzu nori igortzen zaion, zuk erabakitzen duzu zein igorle onartzen dituzten bikoteek, eta zure egutegiaren arabera erreboka dezakezu. Benetan erabilgarria da bi muturrak kudeatzen dituzunean.
Baina betebeharrak ere ekartzen ditu. Konfiantza nahita banatu behar da, bikotearen egiaztapenak piztuta jarraitu behar du, eta norbaitek kredentzialen bizi-zikloaren jabe izan behar du. CA pribatu bat ez da hiru horietako inoren inguruko lasterbide bat.
Noiz da bigarren kanala erantzun zuzena
Demagun aplikazio batek HTTPS egiaztatua irekitzen duela bere zerbitzura, bere paketeak VPN batetik ere igarotzen diren bitartean. Diseinu horrek bi muga ditu, muturrak desberdinak izan daitezkeenak, eta horrela ikusten da bigarren kanal babestu bat.
Aldea garrantzitsua da atean. Aplikazioaren TLS saioa VPN atean amaitzen bada eta ez aplikazioan, tunelaz harago zenuela uste zenuen babesa ez dago han. Idatzi nork amaitzen duen kanal bakoitza propietatea aldarrikatu aurretik.
Galdetu zer aldatzen duen instalazioak
Ziurtagiri bat instalatzeko eskaerak hiru gauza desberdin esan ditzake. Bezeroaren beraren identitatea, aplikazioari dagokion konfiantza aingura bat edo gailuan dagoen guztiarentzako plataforma mailako konfiantza alda ditzake. Ez dira baliokideak, eta azkenak soilik eragiten dio zerikusirik gabeko softwareari.
Galdetu hiruretatik zein den nahi dena, eta gero zer lortu behar duen. Erantzuna zifratze gehiago bada, proposamena mekanismo okerrean ari da.
Idatzi mugak
Kanal bakoitzerako, idatzi muturrak, alde bakoitzak egiaztatzen duen identitatea eta erdiko operadoreak zer ikus dezakeen. Gero idatzi hutsegite-jokabidea: zer gertatzen den egiaztapenak huts egiten duenean eta zer kanala ukatzen denean.
Orrialde bateko bi lerrok ziurtagiri-errotazioak konpondu ezin duen eztabaida konpontzen dute normalean.
Erabaki hiru galderarekin
Arazoa muturrak nor dela dioen al da, edo datuekin zer gertatzen den? Babesak VPN atetik harago jarraitu behar du aplikazio zehatz bateraino? Eta bigarren kanal bat amaituko luketen bi muturrei izena eman diezaiekezu?
Lehen galdera benetakoa bada, konpondu identitatea eta konfiantza. Bigarrena edo hirugarrena bada, diseinatu bigarren kanala eta utzi ziurtagiria dagokion tokian.