A saját VPN-tanúsítvány nem egy extra titkosítási réteg

Saját tanúsítvány telepítése egy VPN-végpontra úgy tűnik, mintha védelmet adnánk hozzá, mert a tanúsítványok és a titkosítás mindenhol együtt jelennek meg. A gyakorlatban két dolgot változtat meg: hogy milyen identitást mutat a végpont, és hogy melyik kibocsátóban hajlandó megbízni a partnere. Egyik sem csomagolja be az adatait másodszor. Ha a valódi igény egy második védett csatorna, akkor saját végpontokkal rendelkező második csatorna kell, nem egy újabb tanúsítvány.

Három különálló feladat egy TLS 1.3 kézfogásban

RFC 8446 külön tartja ezeket, és maga ez a szétválasztás a teljes válasz. A Certificate üzenet hordozza a végpont tanúsítványláncát. A CertificateVerify bizonyítja a megfelelő privát kulcs birtoklását, és a kézfogás átiratához köti. A rekordréteg a kialkudott forgalmi kulcsokkal védi a forgalmat.

Cserélje ki a tanúsítványt, és az első két elem megváltozik. A rekordvédelem nem fut le kétszer, és nem lesz erősebb attól, hogy a kibocsátó most privát.

Mit is ad valójában egy privát CA

Egy ellenőrzött identitásrendszert ad: Ön dönti el, ki kap kibocsátást, Ön dönti el, mely kibocsátókat fogadnak el a partnerek, és saját ütemezése szerint visszavonhat. Ez valóban hasznos, ha mindkét végét Ön üzemelteti.

Kötelezettségeket is behoz. A bizalmat szándékosan kell elosztani, a partner ellenőrzésének bekapcsolva kell maradnia, és valakinek tulajdonolnia kell a hitelesítő adatok életciklusát. A privát CA nem kerülőút egyik három dolog mellett sem.

Mikor a második csatorna a helyes válasz

Tegyük fel, hogy egy alkalmazás ellenőrzött HTTPS-t nyit a saját szolgáltatása felé, miközben csomagjai VPN-en is áthaladnak. Az ilyen tervnek két határa van, amelyek végpontjai eltérhetnek, és a második védett csatorna pontosan így néz ki.

A különbség az átjárónál számít. Ha az alkalmazás TLS-munkamenete a VPN-átjárónál ér véget, nem az alkalmazásnál, akkor a védelem, amelyről azt hitte, hogy az alagúton túl is megvan, nincs ott. Írja le, ki fejezi be az egyes csatornákat, mielőtt a tulajdonságot állítja.

Kérdezzen rá, mit változtat a telepítés

Egy tanúsítvány telepítésére vonatkozó kérés három különböző dolgot jelenthet. Megváltoztathatja az ügyfél saját identitását, egy alkalmazásspecifikus bizalmi horgonyt, vagy platformszintű bizalmat a készüléken lévő mindenhez. Ezek nem egyenértékűek, és csak az utolsó hat a nem kapcsolódó szoftverre.

Kérdezze meg, melyik a három közül a szándék, majd azt, hogy mit kell elérnie. Ha a válasz több titkosítás, akkor a javaslat rossz mechanizmusra irányul.

Írja le a határokat

Minden csatornához jegyezze fel a végpontokat, azt az identitást, amelyet mindkét fél ellenőriz, és azt, hogy mit láthat a középen lévő üzemeltető. Utána jegyezze fel a hiba viselkedését: mi történik, ha az ellenőrzés meghiúsul, és mi, ha a csatornát elutasítják.

Két sor egy oldalon általában eldönt egy vitát, amelyet a tanúsítványrotáció nem tud eldönteni.

Döntsön három kérdéssel

Az a probléma, hogy kinek mondja magát a végpont, vagy hogy mi történik az adatokkal? Tovább kell-e tartania a védelemnek a VPN-átjárón túl egy adott alkalmazásig? És meg tudja-e nevezni azt a két végpontot, amely befejezne egy második csatornát?

Ha az első kérdés a valódi, javítsa az identitást és a bizalmat. Ha a második vagy a harmadik, tervezze meg a második csatornát, és hagyja a tanúsítványt a helyén.