Mukautettu VPN-varmenne ei ole ylimääräinen salauskerros
Varmenne muuttaa identiteettiä ja luottamusta, ei salauskerrosten määrää. Ratkaise kysymällä, mikä päättyy mihin.
Mukautetun varmenteen asentaminen VPN-päätepisteeseen tuntuu suojauksen lisäämiseltä, koska varmenteet ja salaus esiintyvät kaikkialla yhdessä. Käytännössä se muuttaa kahta asiaa: mitä identiteettiä päätepiste esittää ja mihin myöntäjään sen vastapuoli on valmis luottamaan. Kumpikaan niistä ei kääri tietojasi toista kertaa. Jos todellinen tarve on toinen suojattu kanava, tarvitset toisen kanavan omine päätepisteineen, et toista varmennetta.
Kolme erillistä tehtävää TLS 1.3 -kättelyssä
RFC 8446 pitää nämä erillään, ja juuri se erottelu on koko vastaus. Certificate-viesti kuljettaa päätepisteen varmenneketjun. CertificateVerify todistaa vastaavan yksityisavaimen hallussapidon ja sitoo kättelyn transkriptin. Tietuakerros suojaa liikennettä neuvotelluilla liikenneavaimilla.
Vaihda varmenne, niin kaksi ensimmäistä kohtaa muuttuvat. Tietueiden suojaus ei kulje kahdesti eikä vahvistu siksi, että myöntäjä on nyt yksityinen.
Mitä yksityinen CA todella antaa
Se antaa hallitun identiteettijärjestelmän: sinä päätät, kuka saa varmenteen, sinä päätät, mitkä myöntäjät vastapuolet hyväksyvät, ja voit peruuttaa oman aikataulusi mukaan. Tämä on todella hyödyllistä, kun hallitset molempia päitä.
Se tuo mukanaan myös velvoitteita. Luottamus on jaettava tietoisesti, vastapuolen varmennus on pidettävä päällä ja jonkun on omistettava tunnistetietojen elinkaari. Yksityinen CA ei ole oikotie yhdenkään näistä kolmesta ohi.
Milloin toinen kanava on oikea vastaus
Oletetaan, että sovellus avaa varmennetun HTTPS-yhteyden omaan palveluunsa, samalla kun sen paketit kulkevat myös VPN:n läpi. Tällaisessa mallissa on kaksi rajaa, joiden päätepisteet voivat olla erilaiset, ja juuri siltä toinen suojattu kanava näyttää.
Ero on merkityksellinen yhdyskäytävällä. Jos sovelluksen TLS-istunto päättyy VPN-yhdyskäytävään eikä sovellukseen, suojausta, jonka luulit olevan tunnelin tuolla puolen, ei ole. Kirjoita ylös, kuka päättää kunkin kanavan, ennen kuin väität tätä ominaisuutta.
Kysy, mitä asennus muuttaa
Varmenteen asennuspyyntö voi tarkoittaa kolmea eri asiaa. Se voi muuttaa asiakkaan omaa identiteettiä, sovelluskohtaista luottamusankkuria tai koko alustan luottamusta kaikkeen laitteessa. Ne eivät ole samanarvoisia, ja vain viimeinen vaikuttaa asiaankuulumattomaan ohjelmistoon.
Kysy, mikä kolmesta on tarkoitettu, ja sitten mitä sillä on tarkoitus saavuttaa. Jos vastaus on lisää salausta, ehdotus tähtää väärään mekanismiin.
Kirjoita rajat ylös
Kirjaa jokaisesta kanavasta päätepisteet, kummankin osapuolen varmentama identiteetti ja se, mitä keskellä oleva operaattori voi nähdä. Kirjaa sitten virhetilanne: mitä tapahtuu, kun varmennus epäonnistuu, ja mitä, kun kanava hylätään.
Kaksi riviä yhdellä sivulla ratkaisee yleensä väittelyn, jota varmenteen vaihto ei ratkaise.
Ratkaise kolmella kysymyksellä
Onko ongelma se, keneksi päätepiste väittää itseään, vai se, mitä tiedoille tapahtuu? Täytyykö suojauksen jatkua VPN-yhdyskäytävän ohi tiettyyn sovellukseen? Ja pystytkö nimeämään ne kaksi päätepistettä, jotka päättäisivät toisen kanavan?
Jos ensimmäinen kysymys on se oikea, korjaa identiteetti ja luottamus. Jos toinen tai kolmas on, suunnittele toinen kanava ja jätä varmenne sinne, minne se kuuluu.