VPN ની અંદર OAuth: કયા ભાગોને હજી પણ TLS ની જરૂર છે

ખાનગી રૂટિંગ નક્કી કરે છે કોણ સર્વર સુધી પહોંચે છે; OAuth ના પરિવહન નિયમો નક્કી કરે છે કે દરેક સંદેશ કેવી રીતે મુસાફરી કરે છે. એક બ્રાઉઝર, એક અધિકૃતિ સર્વર, એક ટોકન એન્ડપોઇન્ટ અને એક સ્રોત સર્વર બધા એક જ VPN પાછળ હોઈ શકે છે અને તેમ છતાં જુદા જુદા ભાગો દ્વારા સંદેશા બદલી શકે છે. દરેક ભાગની પોતાની પરિવહન જરૂરિયાત છે, અને VPN તેમાંથી એક પણ ઢીલું કરતું નથી. VPN ની સીમા અને પ્રોટોકોલની સીમા બે જુદી રેખાઓ છે.

નિર્ણય સરળ બને છે જો તમે નેટવર્ક વિશ્વસનીય છે કે નહીં એ પૂછવાનું બંધ કરો અને પૂછવા લાગો કે કયો વિનિમય કઈ સીમા ઓળંગે છે.

નેટવર્ક પ્રમાણે નહીં, ભાગ પ્રમાણે નક્કી કરો

એન્ડપોઇન્ટ અલગ અલગ લખો: અધિકૃતિ એન્ડપોઇન્ટ, ટોકન એન્ડપોઇન્ટ, રીડાયરેક્ટ URI, સ્રોત સર્વરનું URL, TLS સમાપ્તિ બિંદુ અને VPN ગેટવે. પછી ચિહ્નિત કરો કે કયો પક્ષ દરેક વિનંતી શરૂ કરે છે અને પ્રતિસાદ ક્યાં જાય છે.

ગેટવે પર સમાપ્ત થતું VPN તે ગેટવે સુધીનો ભાગ એન્ક્રિપ્ટ કરે છે. વિનંતી તેની પાછળ સામાન્ય HTTP તરીકે ચાલુ રહી શકે છે, અને પહેલાનો ભાગ એન્ક્રિપ્ટ થયો હોવાથી એ બાકીનો ભાગ HTTPS બન્યો નથી. એ ચાલુ રહેવું જ એ ભાગ છે જે પ્રોટોકોલને મહત્વનો છે. પહેલી છલાંગ એન્ક્રિપ્ટ કરવાથી બીજી છલાંગ સુરક્ષિત થતી નથી.

પરિવહન સેવા-ઓળખની ચકાસણી પણ લઈ જાય છે. બ્રાઉઝર એપ્લિકેશનના URL માટે પ્રમાણપત્ર ચકાસે છે; VPN બ્રાઉઝર વતી એ ચકાસણી કરતું નથી, અને અચકાસાયેલા એન્ડપોઇન્ટને સ્વીકાર્ય બનાવતું નથી. પ્રમાણપત્ર એ એન્ડપોઇન્ટનું નામ આપે છે જે ક્લાયન્ટ માને છે કે તે કૉલ કરી રહ્યું છે. ગેટવે તરફની ટનેલ એ એન્ડપોઇન્ટનું નામ બદલતી નથી કે તેને ચકાસતી નથી.

અધિકૃતિ પ્રતિસાદ અને રીડાયરેક્ટ URI

OAuth ની વર્તમાન શ્રેષ્ઠ સુરક્ષા પદ્ધતિ એન્ક્રિપ્ટ ન કરેલા જોડાણો પર અધિકૃતિ પ્રતિસાદ મોકલવા પર પ્રતિબંધ મૂકે છે. એમાં એ રીડાયરેક્ટ પણ આવે છે જે અધિકૃતિ કોડ અથવા ટોકન ક્લાયન્ટ પાસે પાછા લઈ જાય છે, ફક્ત પ્રારંભિક વિનંતી નહીં.

એ જ માર્ગદર્શન નિર્દિષ્ટ નેટિવ-ક્લાયન્ટ લૂપબેક કિસ્સા સિવાય HTTP રીડાયરેક્ટ URI ની મંજૂરી આપતું નથી. આંતરિક હોસ્ટનામ નવો અપવાદ બનાવતું નથી, અને ફક્ત VPN ની અંદર ઉકેલાતું DNS નામ, સ્કીમ એમ કહે તો, હજી પણ HTTP URL છે. નોંધાયેલ URI માં સ્કીમ તપાસો, ફક્ત હોસ્ટનામ નહીં.

ચોક્કસ HTTPS રીડાયરેક્ટ URI અધિકૃતિ સર્વર પર નોંધો અને ક્લાયન્ટ પર પ્રમાણપત્ર ચકાસણી ચાલુ રાખો. HTTPS ની જરૂરિયાતને દબાવતો વિકાસ શોર્ટકટ એવો પ્રવાહ બનાવે છે જે તેનું અનુકરણ કરવાનું છે તે ઉત્પાદન રૂપરેખાંકન કરતાં જુદી રીતે વર્તે છે.

ટોકન એન્ડપોઇન્ટ અને બેરર ટોકન વિનંતીઓ

ટોકન વિનંતી ઓળખપત્રો અથવા એવો કોડ લઈ જાય છે જે ઍક્સેસ સાથે બદલી શકાય. અસુરક્ષિત ભાગ પર તેને મોકલવાથી એવી સામગ્રી ખુલ્લી પડે છે જેના પર સ્રોત સર્વર પછીથી ભરોસો કરશે, આસપાસનું નેટવર્ક ખાનગી હોય તો પણ. જે પ્રોક્સી વિનંતી વાંચી શકે છે તે તેના દ્વારા લઈ જવાતું ઓળખપત્ર પણ વાંચી શકે છે.

બેરર ટોકન સ્રોત વિનંતીઓ માટે RFC 6750 તે સ્પષ્ટીકરણ માટે TLS ને અમલમાં મૂકવા અને વાપરવા માટે ફરજિયાત ગણે છે. ઑફિસ સબનેટને વિશ્વસનીય કહેવું એ સામાન્ય પ્રોટોકોલ અપવાદ નથી જે સાદા ટેક્સ્ટ બેરર તૈનાતીને જોઈએ છે.

બંને ભાગો માટે દસ્તાવેજીકૃત સુરક્ષિત એન્ડપોઇન્ટ URL વાપરો. જો લાઇબ્રેરી HTTP ટોકન એન્ડપોઇન્ટ કૉલ કરવાનો ઇનકાર કરે, તો એ ઇનકાર એ સ્પષ્ટીકરણ કામ કરી રહ્યું છે, ટાળવાની રૂપરેખાંકન ભૂલ નથી. એ URL ક્લાયન્ટ રૂપરેખાંકનમાં નોંધો, રનટાઇમ પર મેળવવાને બદલે.

TLS ક્યાં સમાપ્ત થાય છે અને તે શું છોડે છે

જો TLS અધિકૃત ફ્રન્ટએન્ડ પર સમાપ્ત થાય, તો એ ફ્રન્ટએન્ડનું નામ આપો અને તેમાંથી એપ્લિકેશન સુધીનો માર્ગ સમીક્ષા કરો. ફ્રન્ટએન્ડ બાકીના ભાગ પર ફોરવર્ડિંગ, ભરોસો અને ગોપનીયતા માટે જવાબદાર બને છે, અને સેવાની સમર્થિત આર્કિટેક્ચરે એ ગોઠવણીનું વર્ણન કરવું જોઈએ.

માર્ગમાં બીજે ક્યાંય રહેલું VPN એ જવાબદારીઓ ઉકેલતું નથી. તે તમને એ પણ કહેતું નથી કે બ્રાઉઝર જે એપ્લિકેશન URL જુએ છે તે ફ્રન્ટએન્ડ જે પ્રમાણપત્ર રજૂ કરે છે તેને મેળ ખાય છે કે નહીં.

આંતરિક તૈનાતી માટે, સમાપ્તિ બિંદુ અને તે જે ઓળખ રજૂ કરે છે તે નોંધો. જે ફ્રન્ટએન્ડ બીજા નામના પ્રમાણપત્ર સાથે TLS સમાપ્ત કરે છે તે બ્રાઉઝર ચેતવણી ઉત્પન્ન કરે છે જે ઓપરેટરો ઘણી વાર સુધારવાને બદલે દબાવી દે છે.

નેટિવ લૂપબેક અપવાદ સાંકડો છે

લૂપબેક રીડાયરેક્ટ અપવાદ વપરાશકર્તાના પોતાના ઉપકરણ પરના કૉલબેક વિશે છે, જ્યાં ક્લાયન્ટ અને બ્રાઉઝર એ ઉપકરણ વહેંચે છે. એ ગોઠવણી એક ઉપકરણના કૉલબેકની છે, અને તે ઑફિસ સબનેટને HTTP પર સામાન્ય અધિકૃતિ સર્વર અથવા ટોકન ધરાવતી API પરોસવાની પરવાનગી આપતું નથી.

અપવાદને ક્લાયન્ટ પ્રકાર અને તે જે કૉલબેકનું વર્ણન કરે છે તે સુધી મર્યાદિત રાખો. તેને વેબ એપ્લિકેશન, વહેંચાયેલ આંતરિક સેવા અથવા બીજા હોસ્ટ પરના રીડાયરેક્ટ URI પર લાગુ કરવાથી તૈનાતી બદલાય છે, અપવાદ નહીં.

દરેક સીમા પર વાસ્તવિક પ્રવાહ ચકાસો અને ક્લાયન્ટ પ્રકાર સાથે સરખાવો. કામ કરતું રીડાયરેક્ટ એ કંઈ કહેતું નથી કે ટોકન લઈ જનાર દરેક ભાગે જરૂરી સુરક્ષા વાપરી કે નહીં, અને લીલું VPN ચિહ્ન આગલી વિનંતીની સ્કીમ વિશે કંઈ કહેતું નથી.