Fjildapparaat, TLS en VPN: hokker grins beskermet wat

In fjildapparaat iepenet in ferbining mei in tsjinst en de ûntwerpfrêger komt as in kar tusken VPN en TLS. Dat ramt is ferkeard, omdat de beide ferskillend wurk dogge. TLS autentisearret it applikaasje-einpunt en beskermet it petear; wylst in VPN de berikberens regelet en pakketten tusken pearen beskermet. Folgje de ferbining fan it apparaat nei bûten ta en elke laach hat syn eigen antwurd.

As jo net sizze kinne wêr’t TLS einiget, kinne jo net sizze wêr’t de applikaasje echt op fertrout.

Fyn wêr’t TLS eins einiget

Begjin by de applikaasje fan it apparaat en folgje de ferbining oant it proses dat de hânskodding foltôget. As in proxy TLS einiget foar de mainframe, einiget it beskerme paad by de proxy. De oerbleaune sprong hat syn eigen dokumintearre beskerming nedich.

Dat fan ein oant ein neame op grûn fan in oanname is hoe’t in ûntwerprevisy in gat goedkart. Tekenje it einpunt en it fertrouwensanker op itselde diagram.

TLS ferfiert oanfragen en antwurden yn beide rjochtingen, sadat in twarjochtingapplikaasje fan natuere gjin VPN nedich hat yn plak fan TLS. It omkearde jildt ek: in ûtrulling kin noch hieltyd in VPN nedich hawwe foar oare protokollen op itselde apparaat.

Beslute wat it apparaat autentisearje moat

Konfigurearje falidaasje fan serveridentiteit en de bedoelde fertrouwenswoartels. As elk apparaat syn eigen identiteit bewiisje moat, kies dan in stipe kliïntautentikaasjemodel en registrearje in apart bewiis foar elk apparaat. Dielde bewiizen meitsje fan ien stellen apparaat in probleem foar de hiele float.

Plan de kaai-beskerming, fernijing, yntrekken en weromsetten foar de ferstjoering. In apparaat yn it fjild dat nei in mislearre fernijing net opnij registrearre wurde kin, wurdt in reis nei it plak, en dy kosten foarmje it ûntwerp mear as de hânskodding.

Brûk in stipe bibleteek en aktuele rjochtlinen. Moderne rjochtlinen foar TLS-ûtrulling ferbiede it ûnderhanneljen fan TLS 1.0 en 1.1, en in ferwizing nei TLSv1 yn in âlde ûntwerpnotysje is gjin eask.

Slút ôf as de hânskodding mislearret

In mislearre hânskodding of identiteitskontrôle mei net stilwei weromfalle nei it oarspronklike protokol mei iepen tekst. Dat weromfallen is de kwetsberens dy’t it TLS-wurk tichtsje moast. Meitsje it mislearjen sichtber foar de operator fan it apparaat en foar de tsjinst, en easkje it beskerme kanaal foar gefoelige operaasjes. Lit dan de autorisaasje fan de applikaasje beslute wat in autentisearre apparaat dwaan mei.

Bepale de libbensdoer fan de ferbining, it ramjen, de tiidlimitaten en it gedrach by opnij besykjen as part fan it kontrakt. Fersifering makket in werhelle opdracht net feilich, en in opnij besykjen nei in ûnwis eardere operaasje hat in antwurd op applikaasjenivo nedich.

Skriuw de weromfalregel op. “It ferbynt opnij sûnder TLS as de hânskodding mislearret” is in ûntwerpbeslissing, en it soe eksplisyt wêze moatte.

Jou de VPN allinnich it wurk dat it dwaan kin

In VPN kin de berikberens beheine en pakketten oant syn eigen pear beskermje. TLS beskermet de relaasje fan de applikaasje mei it keazen einpunt. Har einpunten kinne ferskille, en gjin fan beide befeiliget de opsleine gegevens fan it einpunt of de administratyf tagong.

Mjit de kosten fan de hânskodding, it stabile berjochtferkear en it opnij ferbinen op it echte apparaat yn plak fan oan te nimmen dat ien meganisme rapper is. Test dan de fjouwer gefallen dy’t der ta dogge: de bedoelde útzwikseling, in ferkearde serveridentiteit, in net-autorisearre apparaat en in opnij ferbinen nei in ûnwis operaasje. Skriuw it resultaat foar elk gefal op, ynklusyf de flater dy’t it apparaat toant.