Tabbatar da asali ta HTTPS da IPsec: abin da kowane ke karewa

Buɗe kayan aikin mai haɓakawa, loda aikace-aikacen ciki, ka kalli yadda buƙata ɗaya ke wucewa ta wuraren bincike huɗu kafin a nuna shafin. Da farko ana warware sunan, sannan a buɗe haɗin TCP, sannan musafaha TLS ya tabbatar da wanene uwar garke, sannan aikace-aikacen ya tambaye ka wanene kai. Ɗauki waɗannan a matsayin abubuwan da suka faru daban-daban, domin kowanne yana gazawa da shaida daban kuma kowanne wata ƙungiya ce ke kula da shi. Mafi yawan ruɗani a cikin al’amuran yana zuwa daga karanta 401 a matsayin matsalar rami, ko matsalar rami a matsayin mummunan kalmar sirri.

Wurin bincike na farko: shin wannan ne uwar garken da kake son yin magana da ita

Musafaha TLS yana amsa wannan tambayar kafin a aika kowane takardar shaidar shiga. Abokin cinikinka yana tabbatar da sarkar takardar shaida a kan ma’ajiyar amincewa kuma yana duba cewa sunan da ke cikin takardar ya dace da mai masaukin da ka rubuta. Idan hakan ya kasa, mai bincike yana nuna kuskuren takardar shaida kuma ba ya aika kan Authorization kwata-kwata. Don haka neman kalmar sirri ba shaida ba ce cewa uwar garken na gaske ne; shaida ce cewa aikace-aikacen ya amsa.

Anan iyaka ta farko ta bayyana. TLS yana kare haɗin har zuwa wurin ƙarshensa. Idan mai daidaita nauyi ya ƙare TLS kuma ya tura HTTP marar sirri zuwa aikace-aikacen, ɓangaren da aka ɓoye yana ƙarewa a mai daidaitawa, kuma takardun shiga ana kare su ne kawai a wannan tsallake na farko.

Wurin bincike na biyu: abin da ke tafiya a cikin musayar 401

Tabbatar da asali na HTTP yana aika mai gano mai amfani da kalmar sirri a cikin kan layi, an lulluɓe shi da Base64 kamar yadda aka bayyana a cikin RFC 7617. Authorization: Basic dXNlcjpwYXNz shine siffar; duk wanda zai iya karanta buƙatar zai iya juya lulluɓin, don haka duk ɓoyewar tana zuwa daga jigilar da ke ƙasa. curl -v yana nuna duka ƙalubalen WWW-Authenticate: Basic da kan da kake mayarwa.

Wannan kan yana gaya wa aikace-aikacen wanda ke tambaya. Ba ya gaya wa cibiyar sadarwa wanda zai iya haɗawa, kuma ba ya ɓoye wani abu da kansa. Aikace-aikacen har yanzu dole ne ya duba takardar shiga a kan ma’aji kuma ya yanke shawarar abin da wannan asusun zai iya yi, wanda shine izini kuma yana faruwa bayan tabbatarwa.

Inda ramin IPsec ya tsaya a wannan hanyar

Yanzu yi tafiya zuwa waje daga mai bincike. Ramin IPsec na ƙofa-zuwa-ƙofa yana kare zaɓaɓɓen zirga-zirga tsakanin ƙofofin tsaro biyu, ba tsakanin kwamfutar tafi-da-gidanka da tsarin aikace-aikacen ba. ESP a yanayin rami yana naɗe ainihin fakiti, ƙofofin suna ɓoye shi kuma suna tabbatar da shi, kuma adiresoshin ciki suna rayuwa don wani gefen ya iya tura buƙatar zuwa aikace-aikacen.

Zaɓin shine ɓangaren da ke sa mutane su tuntuɓe. Ramin da ya dogara da manufa yana amfani da masu zaɓen zirga-zirga, waɗanda galibi ana bayyana su a matsayin jerin kula da shiga, don yanke shawarar waɗanne fakiti ke shiga ramin. Ramin da ya dogara da hanya yana amfani da maƙasudin zamani da teburin tura hanya maimakon haka. A Linux ip xfrm policy yana nuna masu zaɓe kuma ip xfrm state yana nuna haɗin gwiwar tsaro da aka kafa; a na’urar bangon wuta makamancin haka shine teburin SA na ramin tare da mai bin diddigin fakiti.

Sakamakon ya cancanci faɗi a fili. Fakitin na iya zama cikin rami mai cikakkiyar lafiya kuma har yanzu yana ɗaukar buƙatar HTTPS da aikace-aikacen ya ƙi, kuma ingantattun takardun shiga na iya isowa ta hanyar da babu rami kwata-kwata idan tura hanya ya yarda.

Karanta gazawar a matakin da ya ba da rahoto

401 yana nufin aikace-aikacen bai karɓi takardar shiga ba. 403 yana nufin ya karɓi asalin mutum kuma ya ƙi aikin. Kuskuren TLS yana nufin abokin ciniki bai karɓi uwar garken ba. Rashin hanya ko rashin daidaituwar manufa yana nufin fakitin bai taɓa isa ƙofar nesa ba. Gazawa huɗu daban-daban, masu su huɗu daban-daban, kuma ba a gano ɗayansu ta hanyar kallon fom ɗin shiga.

Yi amfani da shaidar da kowane mataki ke samarwa: kwamitin cibiyar sadarwa na mai bincike don matsayi da kan layi, openssl s_client -connect host:443 don sarkar takardar shaida, ƙididdigar SA da rajistan ayyukan ƙofa don zirga-zirgar rami, da rajistan ayyukan aikace-aikacen don shawarar asusu. Lokacin da matakai biyu suka ba da rahoton kurakurai a lokaci ɗaya, gyara na ƙasa da farko, domin mataccen rami yana iya ɓoye gazawar tabbatarwa cikin sauƙi da akasin haka.

Tsara sabis ɗaya daga farko zuwa ƙarshe

Rubuta layi biyar don sabis ɗin da kake binciken: waɗanne abokan haɗin gwiwa ramin ke haɗawa, waɗanne ƙananan cibiyoyin sadarwa da tashoshin sadarwa masu zaɓe ke yarda, inda TLS ke ƙarewa kuma wace asali takardar shaida ke tabbatarwa, wane asusun aikace-aikace da rawar da ake amfani da su, da inda kowane mataki ke yin rikodin. Ka riƙe su a shafi ɗaya, domin manufar taswirar ita ce nuna inda nauyin mataki ɗaya ya ƙare kuma na gaba ya fara.

Sannan gwada yanayi mara kyau ɗaya ga kowane mataki. Yi amfani da kalmar sirri mara daidai kuma tabbatar ka sami 401, ba lokacin jira ba. Haɗa daga ƙananan cibiyar sadarwa da ke wajen masu zaɓe kuma tabbatar fakitin ba ya wucewa ta ramin. Gabatar da takardar shaida don sunan da ba daidai ba kuma tabbatar abokin ciniki ya ƙi kafin ya aika takardun shiga. Waɗannan sakamakon uku sun gaya maka game da ƙira fiye da kowane zanen kwalaye.

A ƙarshe, yanke shawara da gangan game da wace kariya kowane dangantaka ke buƙata. Tabbatar da asali a kan TLS zaɓi ne mai ma’ana ga ƙaramin kayan aiki na ciki bayan ƙofa; ba ya maye gurbin izini ga kowane mai amfani ko kare zirga-zirga bayan ƙarshen TLS. Ramin yana kare hanya, takardar shaida tana kare tsallake, kuma 401 yana kare asusun, kuma na ƙarshe ne kaɗai ya san wanene kai.