Un certificado VPN propio non é unha capa de cifrado adicional

Instalar un certificado propio nun extremo de VPN parece engadir protección, porque os certificados e o cifrado aparecen xuntos por todas partes. Na práctica cambia dúas cousas: que identidade presenta o extremo e en que emisor o seu par está disposto a confiar. Ningunha das dúas envolve os seus datos por segunda vez. Se a necesidade real é un segundo canal protexido, precisa un segundo canal cos seus propios extremos, non outro certificado.

Tres tarefas separadas nun handshake TLS 1.3

RFC 8446 mantén estas cousas separadas, e esa separación é toda a resposta. A mensaxe Certificate transporta a cadea de certificados do extremo. CertificateVerify demostra a posesión da clave privada correspondente e liga a transcrición do handshake. A capa de rexistro protexe o tráfico coas claves de tráfico negociadas.

Cambie o certificado e os dous primeiros elementos cambian. A protección de rexistro non se executa dúas veces e non se volve máis forte porque o emisor agora sexa privado.

Que compra realmente unha CA privada

Compra un sistema de identidade controlado: vostede decide quen recibe a emisión, vostede decide que emisores aceptan os pares e pode revogar segundo o seu propio calendario. Iso é realmente útil cando xestiona os dous extremos.

Tamén introduce obrigas. A confianza debe distribuírse deliberadamente, a verificación do par debe seguir activa e alguén debe ser responsable do ciclo de vida das credenciais. Unha CA privada non é un atallo arredor de ningunha desas tres.

Cando un segundo canal é a resposta correcta

Supoñamos que unha aplicación abre HTTPS verificado cara ao seu propio servizo mentres os seus paquetes tamén viaxan por unha VPN. Ese deseño ten dúas fronteiras con extremos potencialmente distintos, e así é como se ve un segundo canal protexido.

A distinción importa na pasarela. Se a sesión TLS da aplicación remata na pasarela VPN en lugar de na aplicación, a protección que cría ter máis alá do túnel non está aí. Escriba quen remata cada canal antes de reclamar a propiedade.

Pregunte que cambia a instalación

Unha solicitude para instalar un certificado pode significar tres cousas distintas. Pode cambiar a identidade do propio cliente, unha áncora de confianza específica dunha aplicación ou a confianza en toda a plataforma para todo no dispositivo. Non son equivalentes, e só a última afecta software sen relación.

Pregunte cal das tres se pretende e despois que debe acadar. Se a resposta é máis cifrado, a proposta apunta ao mecanismo equivocado.

Escriba as fronteiras

Para cada canal, anote os extremos, a identidade que verifica cada lado e o que pode ver o operador no medio. Despois anote o comportamento ante fallos: que ocorre cando falla a verificación e que ocorre cando o canal se rexeita.

Dúas liñas nunha páxina adoitan resolver unha discusión que unha rotación de certificados non pode.

Decida con tres preguntas

O problema é quen di o extremo que é, ou que ocorre cos datos? Debe a protección continuar máis alá da pasarela VPN ata unha aplicación concreta? E pode nomear os dous extremos que rematarían un segundo canal?

Se a primeira pregunta é a real, corrixa a identidade e a confianza. Se o é a segunda ou a terceira, deseñe o segundo canal e deixe o certificado onde corresponde.