TLS VPN vastaan IPsec: viisi kenttää, jotka kannattaa tarkistaa

TLS VPN:ien asettaminen IPsec VPN:iä vastaan protokollaperheen mukaan vastaa kysymykseen, jota kukaan ei kysynyt, ja viittaa yleensä rakenteeseen, josta molemmat perheet luopuivat vuosia sitten. Mitä arvioija voi todella arvioida, on neuvoteltu suojaus, vertaisidentiteetti, asiakasmalli ja paljastettu palvelu. Nämä neljä asiaa näkyvät käyttöönotossa, eikä mikään niistä seuraa tuotetarrasta. Pyydä viisi kenttää, niin keskustelusta tulee konkreettinen.

Viisi kenttää, eikä tarra ole yksi niistä

Ensimmäinen kenttä on tuettu ohjelmistojulkaisu, koska protokollakuvaus ilman versiota on esite. Toinen on neuvoteltu protokollaversio, joka päättää, mitkä rakenteet ylipäätään ovat saatavilla. Kolmas on suojaussuiti, neljäs sekä vertaisen että käyttäjän todennusmenetelmä ja viides käyttöoikeuden laajuus, jonka tuote myöntää hyväksynnän jälkeen.

SSL VPN -tarra kattaa vähintään kolme eri tuotetta: täyden verkkoyhteysohjelman, sovellusvälityspalvelimen ja vanhan selainpohjaisen portaalin. Ne paljastavat eri palveluita ja epäonnistuvat eri tavoin, joten tarra ei voi korvata laajuuskenttää.

Mitä todennettu salaus todella muuttaa

TLS 1.3 edellyttää todennettua salausta, mikä poistaa protokollasta vanhemman MAC-then-encrypt-rakenteen sen sijaan, että se jätettäisiin valinnaiseksi. IPsec ESP:llä on ollut todennetun salauksen suiteja yhtä kauan, ja AES-GCM on määritelty omassa RFC:ssä. Molemmissa perheissä takuu tulee neuvotellusta suitista eikä perheen nimestä, minkä vuoksi kenttäluettelo alkaa versiosta. Arvioijalla, joka ei osaa nimetä suitia, ei ole mitään arvioitavaa.

Siksi historiallinen vertailu on harhaanjohtavaa. Käyttöönotto, joka on lukittu vanhaan TLS-versioon CBC-suitilla, ja toinen, joka ajaa TLS 1.3:aa AEAD-suitilla, eivät ole sama turva-asento, vaikka molemmat ovat TLS VPN:iä. Sama jakolinja on IPsec-puolella nykyaikaisen ESP-suitin ja perityn yhdistelmän välillä.

Lue neuvotellut arvot etkä aiottua kokoonpanoa. Alla olevat komennot näyttävät, mistä käynnissä oleva päätepiste ja käynnissä oleva tunneli todella sopivat.

openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sas

Jos päätepiste ei halua neuvotella TLS 1.3:sta, se on havainto eikä mieltymys. Jos tunneli listaa suitin, jota et odottanut, merkitsevä kokoonpano on se, jonka vertaiset valitsivat, ei mallipohjassa oleva.

Vertaisidentiteetti on erillinen kysymys

Salaus ilman vahvistettua vertaista suojaa liikennettä tarkkailijoilta ja antaa sen sille, joka vastasi yhteyteen. Vertaisen todennus kysyy, mitä identiteettiä odotetaan, mikä luottamusaineisto sen vahvistaa ja miten asiakas käyttäytyy, kun vastaus ei täsmää. Varmenteiden ketju, kiinnitetty avain ja ennalta jaettu salaisuus ovat kolme eri vastausta, joilla on kolme eri ylläpitokustannusta.

Kysy sitten samat kysymykset käyttäjästä tai laitteesta. Yhdyskäytävä, joka todentaa koneen ja päästää sisään minkä tahansa käyttäjän, tai päinvastoin, on tietyssä asennossa, joka pitäisi kirjoittaa eikä olettaa. Hyväksynnän jälkeen sovellettavat resurssioikeudet kuuluvat samaan kenttään, koska todennus ei ole valtuutus.

Isäntänimen ja varmenteen tarkistusten säilyttäminen on tärkeämpää kuin kirjautumisikkunan tuttuus. Asiakasohjelma, joka on määritetty jättämään vahvistus huomiotta, on poistanut ainoan vaiheen, joka erottaa yhdyskäytäväsi vakuuttavasta jäljitelmästä.

Rajapinta, jonka tuote paljastaa

Asiakasohjelmaton portaali välittää valittuja sovellustoimintoja yhdyskäytävän kautta, joten käyttäjä saavuttaa käyttöliittymän eikä verkkoa. Täystunnelin asiakasohjelma kuljettaa sen, mitä sen reitit ja suodatuskäytäntö valitsevat, mikä on paljon suurempi pinta. Kahden vertaaminen protokollan vahvuuden perusteella jättää huomaamatta eron siinä, mitä hyökkääjä voi niiden kautta saavuttaa. Toinen paljastaa sovelluskäyttöliittymän, toinen reititetyn verkon, ja ne vaativat erilaiset tarkastukset.

Kysy, mikä palvelu on paljastettu, mitkä toiminnot on valtuutettu ja mitä yhdyskäytävä itse kuuntelee. Hallintakäyttöliittymä, joka on tavoitettavissa samasta osoitteesta kuin käyttäjäportaali, on käyttöönoton havainto, eikä mikään protokollavalinta korvaa sitä.

Sovelluskohtainen laajuus kaventaa pintaa edelleen, ja se muuttaa myös virhekäyttäytymistä, kun tunneli katkeaa. Suunnittelu, joka olettaa täystunnelin ulottuvuuden, hajoaa tavoilla, joita sovelluskohtainen suunnittelu ei tunne, ja tukikuorma seuraa.

Päätä virhetulos ja elinkaari

Mitä tapahtuu, kun todennus tai suojaus ei ole käytettävissä, on käytäntöpäätös, joka kuuluu tarkastukseen. Estetty tulos ja ilmoittamaton suora varareitti ovat erilaisia seurauksiltaan, ja ero on näkymätön ominaisuusluettelossa. Ilmoita aiottu käyttäytyminen sen resurssin vieressä, jota se suojaa.

Sisällytä yhdyskäytävän paikkaus- ja tukielinkaari, sen käytössä olevat ulkoiset ominaisuudet ja asiakkaiden päivityspolku. Oikea protokollavalinta ei tee huonosti käyttöönotettua palvelua turvalliseksi, ja useimmat tapaukset elävät juuri siinä aukossa eikä suitissa.

Kirjoita viisi kenttää, virhekäytäntö ja elinkaaren omistaja yhdelle sivulle. Se sivu on tarkastus; protokollaperheiden vertailu on mielipide.