תעודת VPN מותאמת אינה שכבת הצפנה נוספת

התקנת תעודה מותאמת בנקודת קצה של VPN מרגישה כמו הוספת הגנה, מפני שתעודות והצפנה מופיעות יחד בכל מקום. בפועל היא משנה שני דברים: איזו זהות נקודת הקצה מציגה, ובאיזה מנפיק הצד השני מוכן לבטוח. אף אחד מאלה לא עוטף את הנתונים שלכם בפעם השנייה. אם הצורך האמיתי הוא ערוץ מוגן שני, דרוש ערוץ שני עם נקודות קצה משלו, לא תעודה נוספת.

שלוש משימות נפרדות בלחיצת יד של TLS 1.3

RFC 8446 מפריד ביניהם, וההפרדה עצמה היא כל התשובה. הודעת Certificate נושאת את שרשרת התעודות של נקודת הקצה. CertificateVerify מוכיח בעלות על המפתח הפרטי המתאים וקושר את תמליל לחיצת היד. שכבת הרשומות מגנה על התעבורה בעזרת מפתחות התעבורה שנקבעו.

החליפו את התעודה ושני הסעיפים הראשונים משתנים. הגנת הרשומות אינה פועלת פעמיים, והיא אינה מתחזקת רק מפני שהמנפיק כעת פרטי.

מה רוכשת רשות תעודות פרטית באמת

היא רוכשת מערכת זהות מבוקרת: אתם מחליטים למי מנפיקים, אתם מחליטים אילו מנפיקים הצד השני מקבל, ואתם יכולים לבטל לפי לוח הזמנים שלכם. זה באמת שימושי כשאתם מפעילים את שני הקצוות.

היא גם מייבאת התחייבויות. יש להפיץ אמון במכוון, אימות הצד השני חייב להישאר פעיל, ומישהו חייב להיות אחראי על מחזור החיים של פרטי הזיהוי. רשות תעודות פרטית אינה קיצור דרך סביב אף אחד מהשלושה.

מתי ערוץ שני הוא התשובה הנכונה

נניח שאפליקציה פותחת HTTPS מאומת לשירות של עצמה בעוד החבילות שלה עוברות גם דרך VPN. לתכנון כזה יש שני גבולות עם נקודות קצה שעשויות להיות שונות, וכך נראה ערוץ מוגן שני.

ההבחנה חשובה בשער. אם פעילות ה-TLS של האפליקציה מסתיימת בשער ה-VPN ולא באפליקציה, ההגנה שחשבתם שיש לכם מעבר למנהרה אינה שם. כתבו מי מסיים כל ערוץ לפני שאתם טוענים לתכונה.

שאלו מה ההתקנה משנה

בקשה להתקין תעודה יכולה להיות שלושה דברים שונים. היא יכולה לשנות את זהות הלקוח עצמו, עוגן אמון ייעודי לאפליקציה, או אמון ברמת הפלטפורמה לכל מה שבמכשיר. אלה אינם שקולים, ורק האחרון משפיע על תוכנה שאינה קשורה.

שאלו איזה משלושת מכוון, ואז שאלו מה הוא אמור להשיג. אם התשובה היא עוד הצפנה, ההצעה מכוונת למנגנון הלא נכון.

כתבו את הגבולות

לכל ערוץ, רשמו את נקודות הקצה, את הזהות שכל צד מאמת, ומה המפעיל שבאמצע יכול לראות. אחר כך רשמו את התנהגות הכשל: מה קורה כשהאימות נכשל, ומה קורה כשהערוץ נדחה.

שתי שורות בעמוד אחד מכריעות בדרך כלל ריב שסבב תעודות לא יכול להכריע.

הכריעו בשלוש שאלות

האם הבעיה היא מי נקודת הקצה מתיימרת להיות, או מה קורה לנתונים? האם ההגנה צריכה להמשיך מעבר לשער ה-VPN עד אפליקציה מסוימת? והאם תוכלו למנות את שתי נקודות הקצה שיסיימו ערוץ שני?

אם השאלה הראשונה היא האמיתית, תקנו זהות ואמון. אם השנייה או השלישית, תכננו את הערוץ השני והניחו לתעודה במקומה.