OAuth-ը VPN-ի ներսում. որ հատվածները դեռ պահանջում են TLS

Մասնավոր երթուղավորումը որոշում է, թե ով է հասնում սերվերին. OAuth-ի փոխադրման կանոնները որոշում են, թե ինչպես է ճամփորդում յուրաքանչյուր հաղորդագրություն։ Դիտարկիչը, լիազորման սերվերը, նշանի վերջնակետը և ռեսուրսների սերվերը կարող են բոլորը լինել նույն VPN-ի հետևում և այնուամենայնիվ փոխանակել հաղորդագրություններ տարբեր հատվածներով։ Յուրաքանչյուր հատված ունի իր փոխադրման պահանջը, և VPN-ը չի թուլացնում դրանցից ոչ մեկը։ VPN-ի սահմանը և արձանագրության սահմանը երկու տարբեր գծեր են։

Որոշումը ավելի հեշտ է, եթե դադարեք հարցնել՝ արդյոք ցանցը վստահելի է, և սկսեք հարցնել, թե որ փոխանակումն է հատում որ սահմանը։

Որոշեք ըստ հատվածի, ոչ ըստ ցանցի

Առանձին գրեք վերջնակետերը՝ լիազորման վերջնակետ, նշանի վերջնակետ, վերահղման URI, ռեսուրսների սերվերի URL, TLS-ի ավարտի կետ և VPN դարպաս։ Այնուհետև նշեք, թե որ կողմն է սկսում յուրաքանչյուր հարցում և ուր է գնում պատասխանը։

Դարպասի մոտ ավարտվող VPN-ը գաղտնագրում է հատվածը մինչև այդ դարպասը։ Հարցումը կարող է շարունակվել որպես սովորական HTTP դրա հետևում, և այդ մնացած հատվածը HTTPS չի դարձել այն պատճառով, որ ավելի վաղ հատված գաղտնագրվել էր։ Հենց այդ շարունակությունն է այն հատվածը, որով մտահոգված է արձանագրությունը։ Առաջին ցատկի գաղտնագրումը երկրորդ ցատկը անվտանգ չի դարձնում։

Փոխադրումը կրում է նաև ծառայության ինքնության ստուգում։ Դիտարկիչը վավերացնում է հավելվածի URL-ի վկայականը. VPN-ը այդ վավերացումը չի կատարում դիտարկիչի փոխարեն և չվավերացված վերջնակետը ընդունելի չի դարձնում։ Վկայականը նշում է այն վերջնակետը, որը հաճախորդը կարծում է, թե կանչում է։ Դարպաս տանող թունելը չի վերանվանում այդ վերջնակետը և չի վավերացնում այն։

Լիազորման պատասխանը և վերահղման URI-ն

OAuth-ի անվտանգության ներկայիս լավագույն պրակտիկան արգելում է լիազորման պատասխանների փոխանցումը չգաղտնագրված կապերով։ Դա ընդգրկում է վերահղումը, որը լիազորման կոդը կամ նշանները հետ է տանում հաճախորդին, ոչ միայն սկզբնական հարցումը։

Նույն ուղեցույցը չի թույլատրում HTTP վերահղման URI-ներ, բացի նշված բնիկ հաճախորդի loopback դեպքից։ Ներքին հոսթանունը նոր բացառություն չի ստեղծում, և DNS անունը, որը լուծվում է միայն VPN-ի ներսում, դեռ HTTP URL է, եթե սխեման այդպես է ասում։ Ստուգեք սխեման գրանցված URI-ում, ոչ միայն հոսթանունը։

Գրանցեք ճշգրիտ HTTPS վերահղման URI-ն լիազորման սերվերում և թողեք վկայականի վավերացումը միացված հաճախորդում։ Զարգացման կարճուղին, որը ճնշում է HTTPS-ի պահանջը, ստեղծում է հոսք, որն այլ կերպ է վարվում, քան այն արտադրական կազմաձևը, որը պետք է մոդելավորի։

Նշանի վերջնակետը և կրիչ նշանով հարցումները

Նշանի հարցումը կրում է հավատարմագրեր կամ կոդ, որը կարելի է փոխանակել հասանելիության հետ։ Այն չպաշտպանված հատվածով ուղարկելը բացահայտում է նյութ, որին ռեսուրսների սերվերը հետագայում կվստահի, նույնիսկ եթե շրջակա ցանցը մասնավոր է։ Վստահված սերվերը, որը կարող է կարդալ հարցումը, կարող է կարդալ նաև այն կրող հավատարմագիրը։

Կրիչ նշանով ռեսուրսների հարցումների համար RFC 6750-ը TLS-ը համարում է պարտադիր այդ ճշգրտման համար իրականացնելու և օգտագործելու։ Գրասենյակի ենթացանցը վստահելի անվանելը այն ընդհանուր արձանագրային բացառությունը չէ, որն անհրաժեշտ է բաց տեքստով կրիչ տեղակայմանը։

Երկու հատվածների համար օգտագործեք փաստաթղթավորված անվտանգ վերջնակետ URL-ները։ Եթե գրադարանը հրաժարվում է կանչել HTTP նշանի վերջնակետ, այդ հրաժարումը ճշգրտությունն է, որ աշխատում է, ոչ թե շրջանցելու ենթակա կազմաձևի սխալ։ Գրանցեք այդ URL-ը հաճախորդի կազմաձևում՝ այն գործարկման ժամանակ ածանցելու փոխարեն։

Որտեղ է ավարտվում TLS-ը և ինչ է թողնում

Եթե TLS-ը ավարտվում է լիազորված ճակատային մասում, անվանեք այդ ճակատային մասը և վերանայեք դրանից հավելված տանող ուղին։ Ճակատային մասը պատասխանատու է դառնում մնացած հատվածում փոխանցման, վստահության և գաղտնիության համար, և ծառայության աջակցվող ճարտարապետությունը պետք է նկարագրի այդ դասավորությունը։

Ուղու այլ տեղում գտնվող VPN-ը չի լուծում այդ պատասխանատվությունները։ Այն նաև չի ասում՝ արդյոք դիտարկիչի տեսած հավելվածի URL-ը համապատասխանում է ճակատային մասի ներկայացրած վկայականին։

Ներքին տեղակայման համար գրանցեք ավարտի կետը և այն ինքնությունը, որը նա ներկայացնում է։ Ճակատային մասը, որը TLS-ն ավարտում է այլ անվան վկայականով, ստեղծում է դիտարկիչի նախազգուշացում, որը օպերատորները հաճախ ճնշում են՝ ուղղելու փոխարեն։

Բնիկ loopback բացառությունը նեղ է

Loopback վերահղման բացառությունը վերաբերում է օգտատիրոջ սեփական սարքում հետադարձ կանչին, որտեղ հաճախորդը և դիտարկիչը կիսում են այդ սարքը։ Այդ դասավորությունը պատկանում է մեկ սարքի հետադարձ կանչին և չի լիազորում սովորական լիազորման սերվեր կամ նշան կրող API մատուցել HTTP-ով գրասենյակի ենթացանցին։

Բացառությունը պահեք սահմանափակված հաճախորդի տեսակով և այն հետադարձ կանչով, որը նա նկարագրում է։ Այն վեբ հավելվածի, ընդհանուր ներքին ծառայության կամ այլ հոսթի վրա գտնվող վերահղման URI-ի վրա կիրառելը փոխում է տեղակայումը, ոչ թե բացառությունը։

Փորձարկեք փաստացի հոսքը յուրաքանչյուր սահմանում և համեմատեք հաճախորդի տեսակի հետ։ Աշխատող վերահղումը ոչինչ չի ասում այն մասին՝ արդյոք նշան կրած յուրաքանչյուր հատված օգտագործել է պահանջվող պաշտպանությունը, և կանաչ VPN պատկերակը ոչինչ չի ասում հաջորդ հարցման սխեմայի մասին։