Stopann criptiú tollán WSS ag an teirminéir TLS, ní ag an aip

Tá an oiread criptithe go díreach i dtollán a iompraítear laistigh de WebSocket slán agus a chuir an cliant isteach ann, agus ní níos mó. Deir an scéim wss:// go gcosnaíonn TLS aon nasc amháin ar aon léim amháin. Ní deir sé tada faoi cé acu atá na bearta taobh istigh de theachtaireachtaí WebSocket cosanta ar leithligh, agus cinneann an t-idirdhealú sin cé a fhéadfaidh do thrácht a léamh nuair a chríochnaíonn rud éigin sa lár an TLS.

Dhá shraith a bhíonn cosúil le haon

Is éard is WebSocket slán ann ná TLS a ndéantar láimhseáil WebSocket os a chionn, mar a chuireann RFC 6455 síos air ina chodanna faoin nasc agus faoin tslándáil. Fíoraíonn an tsraith TLS an freastalaí agus criptíonn sí an sruth, agus ansin déanann an tsraith WebSocket frámaíocht ar aon rud a shocraíonn an feidhmchlár a sheoladh.

Dhá chinneadh neamhspleácha iad sin, agus folaíonn léaráid a tharraingíonn aon chloch amháin thar an mbealach ar fad an dara ceann. Fiafraigh cé a chríochnaíonn an nasc TLS. Ansin fiafraigh cad a chuireann an cliant taobh istigh de gach teachtaireacht. Leanann gach rud eile faoin imscaradh ón dá fhreagra sin.

Dearadh A: is é an t-iompar an t-aon chriptiú

Sa dearadh is simplí, tógann an cliant paicéid IP amhla agus filltear i dteachtaireachtaí WebSocket iad. Níl aon rud taobh istigh criptithe, mar sin léann an chomhpháirt a choimeádann an seisiún TLS pálastaí i ngnáth-théacs. Nuair is é an chomhpháirt sin do fhreastalaí tolláin féin, is é sin an deireadhphointe beartaithe agus tá an dearadh comhleanúnach, mar bhí an freastalaí chun an trácht a fheiceáil ar aon nós.

Éiríonn sé ina shocrú difriúil nuair a shuíonn proxa cigireachta ar an mbealach agus nuair a chríochnaíonn sé TLS le teastas a bhfuil muinín ag an gcliant as. Tá an gnáth-théacs céanna ag an bproxa sin anois a bheadh ag an bhfreastalaí, agus ní athraíonn aon mhéid frámaíochta WebSocket é sin. Chinn stór muiníne an chliaint an toradh seo i bhfad sular osclaíodh an tollán, mar roghnaigh sé an teastas sin a ghlacadh don ainm sin. Feiceann an proxa freisin an t-óstach a iarradh agus méid gach teachtaireachta, agus is leor sin chun méarlorg a thógáil ar a lán gníomhaíochta gan aon rud eile a dhíchriptiú.

Dearadh B: iompraíonn an pálasta a eochracha féin

Sa dara dearadh, criptíonn agus fíoraíonn an cliant a phaicéid le prótacal VPN a bhfuil a chéannacht phiara agus a mhalartú eochracha féin aige, agus ansin iompraíonn sé an toradh laistigh de theachtaireachtaí WebSocket. Nochtann críochnú an TLS sheachtraigh anseo sifirtheacs, ní trácht. Feiceann an proxa méideanna agus uainiú na dteachtaireachtaí, agus tada eile sa phálasta. Is nochtadh i bhfad níos lú é sin, agus is meiteashonraí fós é ar fiú a ainmniú in athbhreithniú seachas é a scuabadh i leataobh.

Feiceann deireadhphointí an phrótacail inmheánaigh féin gnáth-théacs fós, agus sin é pointe an tsocraithe agus a theorainn freisin. Má tá comhpháirt ag an deireadhphointe údaraithe chun sonraí a léamh roimh chriptiú nó tar éis díchriptithe, ní chuireann an tsraith bhreise srian uirthi. Fanann eochracha, agus na bogearraí a láimhseálann iad, mar an teorainn a bhfuil tábhacht léi.

Ní cruthúnas é lipéad VPN, deilbhín cliaint aithnidiúil nó leathanach margaíochta go bhfuil an dearadh seo ann. Is cruthúnas é formáid an phálasta a léamh.

Riantaigh cá bhfeictear an gnáth-théacs i ndáiríre

Tugann an scéim URL aon fhíric amháin duit, mar sin faigh an chuid eile ó na comhéadain. Rith na seiceálacha thíos in ord, mar cúngaíonn gach ceann an chéad cheann eile:

ss -tnp | grep -E ':(443|8443)\b'
ip -br link show type tun
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief
tcpdump -ni tun0 -c 5 -X

Tosaigh leis an nasc seachtrach. Is éard is cuma le hiompróir WebSocket ná seisiún TCP fadshaolach amháin chuig an bport TLS, agus is fiú an dara seisiún chuig óstach neamhghaolmhar a mhíniú sula bhféachann tú níos doimhne. Ansin aimsigh an comhéadan tolláin ar an gcliant, mar insíonn gléas tun nó tap duit go bhfuil an cliant ag láimhseáil paicéid IP seachas sruth feidhmchláir amháin a sheachadadh trí phroxa.

Réitíonn an gabháil ar an gcomhéadan tolláin ceist an phálasta de ghnáth. Ciallaíonn ceanntásca inléite ann nár criptíodh na paicéid inmheánacha ar leithligh riamh, agus ciallaíonn pálastaí ard-eantróipe gur criptíodh. Déan an ghabháil arís ar an gcomhéadan seachtrach agus cuir an dá rud i gcomparáid: má fhéachann an dá cheann randamach, tá an tsraith inmheánach ag déanamh oibre nach féidir leis an tsraith sheachtrach a chealú.

Déan athbhreithniú ar an muinín a thug tú i ndáiríre

Is fíric faoi stór muiníne an chliaint é teastas fréimhe corparáideach atá suiteáilte, ní ráiteas faoi cad a logálann nó a scrúdaíonn aon phroxa. Socraigh an beartas imscartha agus an fíorbhealach naisc in ionad iompar a bhaint as láithreacht CA.

Ar threalamh bainistithe, fiafraigh den riarthóir cé a chríochnaíonn TLS, an bhfíoraíonn an cliant teastas pionnáilte nó ceann poiblí, agus cad é formáid an phálasta. Táirgeann an trí fhreagra sin fionnachtain ar féidir leat í a chosaint níos déanaí.

Scríobh an toradh mar theorainn seachas mar bhreith. "Críochnaíonn TLS ag an bproxa cigireachta, agus tá an pálasta inmheánach criptithe ar leithligh le heochracha nach bhfuil ach ag na deireadhphointí" is ráiteas inrianaithe é a mhaireann tar éis athrú soláthraí. "Tá WebSockets slán" ní mhaireann.