OAuth VPN baten barruan: zein atalek eskatzen dute oraindik TLS

Bideratze pribatuak erabakitzen du nor iristen den zerbitzarira; OAuth-en garraio-arauak erabakitzen du nola bidaiatzen duen mezu bakoitzak. Nabigatzaile bat, baimen-zerbitzari bat, token amaiera-puntu bat eta baliabide-zerbitzari bat VPN beraren atzean egon daitezke eta, hala ere, mezuak atal desberdinetatik trukatu. Atal bakoitzak bere garraio-eskakizuna du, eta VPNak ez du horietako bat ere leuntzen. VPNaren muga eta protokoloaren muga bi lerro desberdin dira.

Erabakia errazagoa da sareari fidagarria ote den galdetzeari utzi eta zein trukaketak zein muga zeharkatzen duen galdetzen hasten bazara.

Erabaki atalaren arabera, ez sarearen arabera

Idatzi amaiera-puntuak bereizita: baimen amaiera-puntua, token amaiera-puntua, birbideratze URIa, baliabide-zerbitzariaren URLa, TLS amaiera-puntua eta VPN atea. Ondoren markatu zein aldek abiarazten duen eskaera bakoitza eta nora doan erantzuna.

Ate batean amaitzen den VPN batek ate horretarainoko segmentua zifratzen du. Eskaerak HTTP arrunt gisa jarrai dezake haren atzean, eta gainerako atala ez da HTTPS bihurtu aurretik segmentu bat zifratu delako. Jarraipen hori da protokoloari axola zaion atala. Lehen jauzia zifratzeak ez du bigarren jauzia seguru egiten.

Garraioak zerbitzuaren identitatearen egiaztapena ere badarama. Nabigatzaileak aplikazioaren URLrako ziurtagiria baliozkotzen du; VPN batek ez du baliozkotze hori nabigatzailearen ordez egiten, eta ez du baliozkotu gabeko amaiera-puntua onargarri egiten. Ziurtagiriak bezeroak deitzen ari delako uste duen amaiera-puntua izendatzen du. Atera doan tunel batek ez du amaiera-puntu hori berrizendatzen ezta baliozkotzen ere.

Baimen-erantzuna eta birbideratze URIa

OAuth-en egungo segurtasun-jardunbide onenak debekatzen du baimen-erantzunak konexio zifratu gabeetatik bidaltzea. Horrek barne hartzen du baimen-kodea edo tokenak bezeroari itzultzen dizkion birbideratzea, ez hasierako eskaera soilik.

Gidalerro berak ez ditu uzten HTTP birbideratze URIak, bezero natiborako zehaztutako loopback kasua izan ezik. Barneko ostalari-izen batek ez du salbuespen berririk sortzen, eta VPNaren barruan soilik ebazten den DNS izen bat HTTP URL da oraindik eskema hori badio. Egiaztatu eskema erregistratutako URIan, ez ostalari-izena soilik.

Erregistratu HTTPS birbideratze URI zehatza baimen-zerbitzarian eta mantendu ziurtagirien baliozkotzea gaituta bezeroan. HTTPS eskakizuna isilarazten duen garapen-lasterbide batek modelatu beharko lukeen ekoizpen-konfigurazioarekiko desberdin jokatzen duen fluxua sortzen du.

Token amaiera-puntua eta bearer token eskaerak

Token eskaerak kredentzialak edo sarbidearen truke alda daitekeen kode bat darama. Atal babesgabe batetik bidaltzeak baliabide-zerbitzariak geroago fidatuko duen materiala uzten du agerian, inguruko sarea pribatua izan arren. Eskaera irakur dezakeen proxy batek daraman kredentziala ere irakur dezake.

Bearer tokeneko baliabide-eskaeretarako, RFC 6750k TLS derrigorrezkoa dela jotzen du zehaztapen horretan inplementatu eta erabiltzeko. Bulegoko azpisarea fidagarritzat jotzea ez da testu hutseko bearer inplementazio batek behar duen protokolo-salbuespen orokorra.

Erabili dokumentatutako amaiera-puntu URL seguruak bi ataletarako. Liburutegi batek HTTP token amaiera-puntu bat deitzeari uko egiten badio, uko egite hori zehaztapena lanean ari da, ez da saihesteko konfigurazio-errore bat. Idatzi URL hori bezeroaren konfigurazioan, exekuzio-denboran eratorri beharrean.

Non amaitzen da TLS eta zer uzten du horrek

TLS frontend baimendu batean amaitzen bada, izenda ezazu frontend hori eta berrikusi hortik aplikaziora doan bidea. Frontendak aurreratzeaz, konfiantzaz eta konfidentzialtasunaz arduratzen da gainerako segmentuan, eta zerbitzuaren onartutako arkitekturak antolamendu hori deskribatu beharko luke.

Bideko beste puntu bateko VPN batek ez ditu erantzukizun horiek argitzen. Ez dizu esaten, halaber, nabigatzaileak ikusten duen aplikazioaren URLa frontendak aurkezten duen ziurtagiriarekin bat datorren.

Barneko inplementazio baterako, erregistratu amaiera-puntua eta aurkezten duen identitatea. Beste izen baterako ziurtagiri batekin TLS amaitzen duen frontend batek nabigatzailearen abisua sortzen du, eta operadoreek sarritan isilarazten dute konpondu beharrean.

Loopback natiboko salbuespena estua da

Loopback birbideratzearen salbuespena erabiltzailearen beraren gailuan egindako dei-itzulera bati buruzkoa da, non bezeroak eta nabigatzaileak gailu hori partekatzen duten. Antolamendu hori gailu bakarreko dei-itzulerari dagokio, eta ez du uzten baimen-zerbitzari arrunt bat edo tokenak daramatzan API bat HTTP bidez bulegoko azpisare bati zerbitzatzen.

Mantendu salbuespena deskribatzen duen bezero motaren eta dei-itzuleraren barruan. Web aplikazio bati, barneko zerbitzu partekatu bati edo beste ostalari bateko birbideratze URI bati aplikatzeak inplementazioa aldatzen du, ez salbuespena.

Probatu benetako fluxua muga bakoitzean eta alderatu bezero motarekin. Funtzionatzen duen birbideratze batek ez du ezer esaten tokena zeraman atal bakoitzak beharrezko babesa erabili ote zuen, eta VPN ikono berde batek ez du ezer esaten hurrengo eskaeraren eskemari buruz.