In oanpast VPN-sertifikaat is gjin ekstra fersiferinglaach

In oanpast sertifikaat op in VPN-einpunt ynstallearje fielt as beskerming tafoegje, om't sertifikaten en fersifering oeral tegearre ferskine. Yn 'e praktyk feroaret it twa dingen: hokker identiteit it einpunt presintearret, en hokker útjouwer syn tsjinpart bereid is te fertrouwen. Net ien fan beide wikellet jo gegevens in twadde kear yn. As de echte needsaak in twadde beskerme kanaal is, hawwe jo in twadde kanaal mei eigen einpunten nedich, net noch in sertifikaat.

Trije aparte taken yn in TLS 1.3-hânskieding

RFC 8446 hâldt dizze dingen apart, en dy skieding is it hiele antwurd. It Certificate-berjocht draacht de sertifikaatkeatling fan it einpunt. CertificateVerify bewiist besit fan de byhearrende partikuliere kaai en bynt de transkripsje fan de hânskieding. De record-laach beskermet ferkear mei de ûnderhannele ferkearskaaien.

Ferfang it sertifikaat en de earste twa items feroarje. De record-beskerming rint net twa kear en wurdt net sterker om't de útjouwer no partikulier is.

Wat in partikuliere CA eins keapet

It keapet in kontrolearre identiteitssysteem: jo beslisse wa't útjûn wurdt, jo beslisse hokker útjouwers tsjinparten akseptearje, en jo kinne neffens jo eigen skema weromlûke. Dat is echt nuttich as jo beide einen beheare.

It bringt ek ferplichtingen mei. Fertrouwen moat bewust ferspraat wurde, tsjinpartferifikaasje moat oan bliuwe, en immen moat eigner wêze fan 'e libbenssyklus fan 'e bewizen. In partikuliere CA is gjin flugge wei om ien fan dy trije hinne.

Wannear't in twadde kanaal it juste antwurd is

Stel dat in applikaasje ferifiearre HTTPS iepenet nei syn eigen tsjinst wylst syn pakketten ek troch in VPN reizgje. Dat ûntwerp hat twa grinzen mei mooglik ferskillende einpunten, en sa sjocht in twadde beskerme kanaal derút.

It ferskil docht der ta by de poarte. As de TLS-sesje fan 'e applikaasje by de VPN-poarte einiget ynstee fan by de applikaasje, dan is de beskerming dy't jo tochten te hawwen foarby de tunnel der net. Skriuw op wa't elk kanaal einiget foardat jo de eigenskip beweare.

Freegje wat de ynstallaasje feroaret

In fersyk om in sertifikaat te ynstallearjen kin trije ferskillende dingen betsjutte. It kin de eigen identiteit fan ’e klant feroarje, in applikaasjespesifyk fertrouwensanker, of fertrouwen op platfoarmnivo foar alles op it apparaat. Dy binne net lykweardich, en allinne de lêste hat ynfloed op net-relatearre software.

Freegje hokker fan 'e trije bedoeld is, en freegje dan wat it berikke moat. As it antwurd mear fersifering is, rjochtet it foarstel him op it ferkearde meganisme.

Skriuw de grinzen op

Foar elk kanaal: skriuw de einpunten op, de identiteit dy't elke kant ferifiearret, en wat de operator yn 'e midden sjen kin. Skriuw dan it flatergedrach op: wat der bart as ferifikaasje mislearret, en wat der bart as it kanaal wegere wurdt.

Twa rigels op ien side besljochtsje meastentiids in diskusje dy't in sertifikaatrotasjon net besljochtsje kin.

Beslis mei trije fragen

Is it probleem wa't it einpunt seit dat it is, of wat der mei de gegevens bart? Moat beskerming foarby de VPN-poarte trochgean nei in spesifike applikaasje? En kinne jo de twa einpunten neame dy't in twadde kanaal einigeje soene?

As de earste fraach de echte is, meitsje identiteit en fertrouwen yn oarder. As it de twadde of tredde is, ûntwerp dan it twadde kanaal en lit it sertifikaat wêr't it heart.