Ɓoyewar ramin WSS tana ƙarewa a mashigar TLS, ba a cikin manhaja ba

Ramin da ake ɗauka a cikin WebSocket mai tsaro yana da daidai yawan ɓoyewa kamar yadda abokin ciniki ya saka a ciki, ba fiye da haka ba. Tsarin wss:// yana faɗin cewa TLS yana kare haɗi ɗaya a mataki ɗaya. Bai faɗi kome ba game da ko ana kare bayt ɗin da ke cikin saƙonnin WebSocket daban, kuma wannan bambancin ne ke ƙayyade wanda zai iya karanta zirga-zirgar ka sa'ad da wani abu a tsakiya ya ƙarasa TLS.

Yaduna biyu da suke kama da ɗaya

WebSocket mai tsaro shi ne TLS da ake yin musafaha na WebSocket a kansa, kamar yadda RFC 6455 ya bayyana a sassansa na haɗi da tsaro. Layin TLS yana tabbatar da uwar garke kuma yana ɓoye rafin, sannan layin WebSocket yana ƙirƙirar firam ɗin duk abin da manhaja ta yanke shawarar aikawa.

Waɗannan shawarwari biyu ne masu zaman kansu, kuma zane da ke zana ƙulle ɗaya a kan dukan hanya yana ɓoye na biyun. Tambayi wanene ke ƙarasa haɗin TLS. Sannan tambayi abin da abokin ciniki ke saka a cikin kowace saƙo. Duk sauran abin da ya shafi turawa ya biyo daga waɗannan amsoshi biyu.

Tsari A: jigilar ita ce kawai ɓoyewa

A cikin mafi sauƙin tsari, abokin ciniki yana ɗaukar fakitin IP ɗin ɗanye yana naɗe su cikin saƙonnin WebSocket. Babu abin da aka ɓoye a ciki, don haka ɓangaren da ke riƙe da zamar TLS yana karanta kayan rubutu bayyananniya. Sa'ad da wannan ɓangaren shine uwar garken rami naka, wannan shine ƙarshen da aka nufa kuma tsarin yana da daidaito, domin uwar garken zai ga zirga-zirgar ko ta yaya.

Yana zama wani tsari daban sa'ad da wakilin bincike ya zauna a kan hanya ya ƙarasa TLS da takardar shaidar da abokin ciniki ya amince da ita. Wannan wakili yanzu yana riƙe da rubutun bayyananne guda ɗaya da uwar garken zai riƙe, kuma babu adadin firam ɗin WebSocket da zai canza hakan. Ajiyar amincewar abokin ciniki ta yanke wannan sakamakon tun da daɗewa kafin a buɗe ramin, domin ta zaɓi karɓar wannan takardar shaidar don wannan sunan. Wakilin kuma yana ganin sunan uwar garken da aka nema da girman kowace saƙo, wanda ya isa a ɗauki sawun ayyuka da yawa ba tare da ɓata wani abu ba.

Tsari B: kayan na ɗauke da nasu maɓallan

A tsari na biyu, abokin ciniki yana ɓoye da tabbatar da fakitinsa da wata yarjejeniyar VPN da ke da nata asalin abokin haɗi da musayar maɓalli, sannan yana ɗaukar sakamakon cikin saƙonnin WebSocket. Ƙarasa TLS na waje a nan yana fallasa rubutun sirri, ba zirga-zirga ba. Wakilin yana iya ganin girman saƙonni da lokaci, kuma babu wani abu a cikin kayan. Wannan fallasa ce mafi ƙanƙanta, kuma har yanzu bayanai ne da suka cancanci ambatawa a bita maimakon a watsar da su.

Ƙarshen yarjejeniyar ciki da kansu har yanzu suna ganin rubutu bayyananne, wanda shine ma'anar tsarin kuma iyakarsa. Idan ɓangare a ƙarshen yana da izinin karanta bayanai kafin ɓoyewa ko bayan ɓatawa, ƙarin layin ba ya takura shi. Maɓallai, da manhajar da ke sarrafa su, sun kasance iyakar da ke da muhimmanci.

Lakabin VPN, alamar abokin ciniki da aka sani ko shafin talla ba su zama hujja ba cewa wannan tsari ya wanzu. Karanta tsarin kayan shine hujja.

Bi diddigin inda rubutun bayyananne yake fitowa da gaske

Tsarin URL yana ba ka hujja ɗaya, don haka sami sauran daga musaya. Gudanar da binciken da ke ƙasa bisa tsari, domin kowanne yana taƙaita na gaba:

ss -tnp | grep -E ':(443|8443)\b'
ip -br link show type tun
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief
tcpdump -ni tun0 -c 5 -X

Fara da haɗin waje. Zama ɗaya na TCP mai tsawon rai zuwa tashar TLS shine yadda mai ɗaukar WebSocket yake kama, kuma zama na biyu zuwa uwar garken da ba shi da alaƙa ya cancanci bayani kafin ka duba zurfi. Sannan nemo musayar rami a kan abokin ciniki, domin na'urar tun ko tap tana gaya maka cewa abokin ciniki yana sarrafa fakitin IP maimakon yin wakilcin rafin manhaja ɗaya.

Kamun da aka yi a musayar rami yawanci yana warware tambayar kayan. Kanun kai masu iya karantawa a wurin suna nufin ba a taɓa ɓoye fakitin ciki daban ba, yayin da kayan da ke da ƙarfin entropi mai yawa ke nufin an ɓoye su. Maimaita kamun a musayar waje ka kwatanta biyun: idan dukansu suna kama da bazuwar, layin ciki yana yin aikin da layin waje ba zai iya soke shi ba.

Yi bitar amincewar da ka bayar da gaske

Takardar shaidar tushen kamfani da aka shigar hujja ce game da ajiyar amincewar abokin ciniki, ba sanarwa ba game da abin da kowane wakili ke rubutawa ko bincikawa. Kafa manufar da aka aiwatar da hanyar haɗi ta gaske maimakon kammala ɗabi'a daga kasancewar CA.

A kan kayan aiki da ake sarrafawa, tambayi mai gudanarwa wane ɓangare ke ƙarasa TLS, ko abokin ciniki yana tabbatar da takardar shaidar da aka lika ko ta jama'a, da menene tsarin kayan. Waɗannan amsoshi uku suna haifar da binciken da za ka iya karewa daga baya.

Rubuta sakamakon a matsayin iyaka ba hukunci ba. "TLS yana ƙarewa a wakilin bincike, kuma an ɓoye kayan ciki daban da maɓallan da ƙarshen ke riƙe kawai" magana ce da za a iya dubawa wadda za ta jure canjin mai sayarwa. "WebSockets suna da tsaro" ba haka ba.