TLS VPN protiv IPsec: pet polja koja vrijedi pregledati

Rangiranje TLS VPN-ova protiv IPsec VPN-ova po obitelji protokola odgovara na pitanje koje nitko nije postavio, i obično citira konstrukciju koju su obje obitelji napustile prije godina. Ono što recenzent doista može procijeniti jest dogovorena zaštita, identitet partnera, model klijenta i izložena usluga. Te četiri stvari vidljive su u implementaciji i nijedna ne proizlazi iz oznake proizvoda. Zatražite pet polja i razgovor postaje konkretan.

Pet polja, a oznaka nije jedno od njih

Prvo polje je podržano izdanje softvera, jer je opis protokola bez verzije brošura. Drugo je dogovorena verzija protokola, koja odlučuje koje su konstrukcije uopće dostupne. Treće je zaštitni skup, četvrto je metoda autentikacije za partnera i korisnika, a peto je opseg pristupa koji proizvod daje nakon prijema.

Oznaka VPN SSL pokriva najmanje tri različita proizvoda: punog mrežnog klijenta, proxy aplikacija i stariji portal utemeljen na pregledniku. Izlažu različite usluge i otkazuju na različit način, pa oznaka ne može zamijeniti polje opsega.

Što autenticirano šifriranje doista mijenja

TLS 1.3 zahtijeva autenticirano šifriranje, što iz protokola uklanja stariju konstrukciju MAC-then-encrypt umjesto da je ostavi neobveznom. IPsec ESP ima skupove autenticiranog šifriranja jednako dugo, s AES-GCM definiranim u vlastitom RFC-u. U obje obitelji jamstvo dolazi iz dogovorenog skupa, a ne iz imena obitelji, zato popis polja počinje verzijom. Recenzent koji ne može imenovati skup nema što procijeniti.

Zato je povijesna usporedba zavaravajuća. Implementacija prikvačena na staru verziju TLS-a sa skupom CBC i ona koja pokreće TLS 1.3 sa skupom AEAD nisu isto sigurnosno stanje, iako su obje TLS VPN-ovi. Ista podjela postoji na strani IPsec između modernog skupa ESP i starije kombinacije.

Čitajte dogovorene vrijednosti umjesto konfiguracije koju ste namjeravali. Naredbe u nastavku pokazuju oko čega su se živa krajnja točka i živ tunel doista dogovorili.

openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sas

Ako krajnja točka ne želi pregovarati TLS 1.3, to je nalaz, a ne sklonost. Ako tunel navodi skup koji niste očekivali, konfiguracija koja je važna jest ona koju su odabrali partneri, a ne ona iz predloška.

Identitet partnera je zasebno pitanje

Šifriranje bez provjerenog partnera štiti promet od promatrača i predaje ga onome tko je odgovorio na vezu. Autentikacija partnera pita koja se identitet očekuje, koji materijal povjerenja ga potvrđuje i kako se klijent ponaša kada odgovor ne odgovara. Lanac certifikata, prikvačeni ključ i unaprijed dijeljena tajna tri su različita odgovora s tri različita operativna troška.

Zatim postavite ista pitanja o korisniku ili uređaju. Pristupnik koji autenticira stroj i pušta bilo kojeg korisnika, ili obrnuto, ima određeno stajalište koje treba zapisati, a ne pretpostaviti. Dopuštenja za resurse primijenjena nakon prijema dio su istog polja, jer autentikacija nije autorizacija.

Očuvanje provjera imena hosta i certifikata važnije je od poznatosti prijavnog okna. Klijent konfiguriran da zanemari provjeru uklonio je jedini korak koji razlikuje vaš pristupnik od uvjerljive imitacije.

Granica koju proizvod izlaže

Portal bez klijenta posreduje odabrane aplikacijske operacije kroz pristupnik, pa korisnik doseže sučelje, a ne mrežu. Klijent punog tunela nosi ono što odaberu njegove rute i politika filtriranja, što je mnogo veća površina. Usporedba dvaju po snazi protokola promašuje razliku u tome do čega napadač može doći kroz njih. Jedan izlaže aplikacijsko sučelje, drugi usmjerenu mrežu, i oba zahtijevaju različite preglede.

Pitajte koja je usluga izložena, koje su operacije autorizirane i na čemu sam pristupnik sluša. Administrativno sučelje dostupno s iste adrese kao korisnički portal nalaz je implementacije i nikakav odabir protokola to ne nadoknađuje.

Opseg po aplikaciji dodatno sužava površinu i mijenja i ponašanje pri kvaru kada tunel padne. Dizajn koji pretpostavlja doseg punog tunela lomi se na načine koje dizajn po aplikaciji ne poznaje, a opterećenje podrške slijedi.

Odlučite ishod kvara i životni ciklus

Što se događa kada autentikacija ili zaštita nije dostupna, odluka je politike koja pripada pregledu. Blokirani ishod i neobjavljen izravni povratak imaju različite posljedice, a razlika je na popisu značajki nevidljiva. Navedite namjeravano ponašanje uz resurs koji štiti.

Uključite životni ciklus zakrpa i podrške pristupnika, njegove omogućene vanjske značajke i put ažuriranja klijenata. Ispravan odabir protokola ne čini sigurnom loše uvedenu uslugu, a većina se incidenata nalazi u toj praznini, a ne u skupu.

Zapišite pet polja, politiku kvara i vlasnika životnog ciklusa na jednu stranicu. Ta je stranica pregled; usporedba obitelji protokola je mišljenje.