TLS բանալու փոխանակումն ընդդեմ հաճախորդի սերտիֆիկատի. որը մուտք է գործում։
Առանձնացրեք բանալու համաձայնությունը հաճախորդի նույնականացումից և հավելվածի ինքնությունից, ապա կարդացեք ձեռքսեղմման հաղորդագրերը, որոնք ցույց են տալիս, թե որն է իրականում օգտագործել միացումը։
Ձեռքսեղմման մեջ հանրային բանալու փոխանակման արժեք կրելը նույն իրադարձությունը չէ, ինչ հաճախորդի մուտքը։ Մեկը ստեղծում է գաղտնագրային վիճակ միացման համար, իսկ մյուսը նշում է, թե ով է հաճախորդը, և դա տեղի է ունենում միայն այն ժամանակ, երբ սերվերը պահանջում է այն և փոխանակումը դա աջակցում է։ Առաջինը երկրորդի տեղ ընդունելը հանգեցնում է սխալ եզրակացությունների այն մասին, թե ինչ է VPN-ը թաքցնում և ինչ՝ ոչ։ Կարդացեք հաղորդագրերը, ապա որոշեք, թե չորս հատկություններից որն եք իրականում դիտել։
Երկու օբյեկտ, որոնք նույնական են թվում գրանցման մեջ
TLS 1.3 հաճախորդը կարող է բանալու փոխանակման նյութ տրամադրել իր առաջին թռիչքում՝ առանց որևէ սերտիֆիկատ ներկայացնելու։ Այդ ներդրումը նախագծով հանրային է, քանի որ սերվերին այն անհրաժեշտ է ընդհանուր գաղտնիքը ստանալու համար։ Հաճախորդի սերտիֆիկատը այլ հաղորդագրություն է և ուղարկվում է միայն այն բանից հետո, երբ սերվերը պահանջում է այն։ Այն կրում է ինքնություն, որը սերվերը հետո ստուգում է, և փոխադարձ նույնականացումը սերվերի որոշումն է, ոչ թե գաղտնագրման հավաքածուի պարտադրած հատկություն։ Հավելվածի ինքնությունը բոլորովին երրորդ բան է՝ մուտքի ձև, կրող նշան, քուքի։ Դրանցից ոչ մեկը չի երևում ձեռքսեղմման մեջ, և բոլորը դիմանում են ցանցային ուղու փոփոխությանը։
| Object in play | What it establishes |
|---|---|
| Key-exchange share | Cryptographic state for this connection |
| Server certificate | Which server the client reached |
| Client certificate | Client authentication, when requested |
| Application session | Account identity inside the application |
Չորս տողերը անկախ են։ Միացումը կարող է ունենալ առաջին և երկրորդ տողերը, բաց թողնել երրորդը և այնուամենայնիվ կրել չորրորդը քուքի վերնագրում։
Որոշեք, թե ինչ կարող է ապացուցել գրանցված ձեռքսեղմումը
Միայն ձեռքսեղմումից դիտորդը իմանում է բանակցված տարբերակը, գաղտնագրման հավաքածուն, սերվերի սերտիֆիկատը և հանրային բանալու փոխանակման արժեքները։ Դա բավարար է հաճախորդի իրականացման մատնահետքը վերցնելու և տեսնելու, թե որ սերվերի հետ կապ հաստատվեց։ Ինչ այն չի տալիս, այն մասնավոր վիճակն է, որն անհրաժեշտ է միացումը վերծանելու համար, որի գաղտնիությունը հենվում է ժամանակավոր փոխանակման, ոչ թե հանրային մասի վրա։ Այն նաև չի տալիս հաշվի ինքնություն, որը սկզբից ի վեր ձեռքսեղմման մեջ չի եղել։
Այսպիսով ազնիվ եզրակացությունը նեղ է. այս փոխանակման մեջ հաճախորդի սերտիֆիկատ չներկայացվեց։ Խոսքը այն մասին չէ, որ հաճախորդը կապակցելի ոչինչ չուղարկեց, և, իհարկե, ոչ այն մասին, որ նստաշրջանը որևէ նույնացուցիչ չէր կրում։
Կարդացեք հաղորդագրերը, ոչ թե գաղտնագրման անվանումը
Հարցրեք սերվերին, թե ինչ է պահանջում, փոխանակ գաղտնագրման հավաքածուից եզրակացնեք։ Սերտիֆիկատի հարցում պարունակող TLS 1.3 ձեռքսեղմումը տեսանելի է արձանագրության մեջ, և դրա բացակայությունը նույնքան տեսանելի է։
openssl s_client -connect app.example.net:443 -tls1_3 -msg < /dev/null 2>&1 | grep -i -E 'key_share|CertificateRequest'Ապա կրկնեք կարգավորված հաճախորդի սերտիֆիկատով և համեմատեք։ Երկրորդ գործարկումը պետք է ցույց տա, որ սերտիֆիկատն ուղարկվում և ընդունվում է, իսկ առաջինը ոչինչ չպետք է ցույց տա, և հենց դա է վեճի առարկա հանդիսացող կոնկրետ տարբերությունը։
openssl s_client -connect app.example.net:443 -tls1_3 -cert client.pem -key client.key -quietԵթե ձեզ պետք է միայն սովորական դիտարկման դեպքը, հաճախորդի մանրամասն արտածումը բավարար է՝ տեսնելու արձանագրության տարբերակը, ստուգման արդյունքը և այն, թե արդյոք առաջարկվել է հաճախորդի սերտիֆիկատ։ Սերվերը, որը երբեք սերտիֆիկատի հարցում չի ուղարկում, չէր կարող այն ստանալ։
Որտեղ վերսկսումը փոխում է պատասխանը
TLS 1.3-ի վերսկսումն օգտագործում է գաղտնի վիճակին կապված տոմսեր, ուստի ավելի ուշ միացումը կարող է ավարտվել առանց սերտիֆիկատների ամբողջական փոխանակման։ Դա նվազեցնում է դիտորդի տեսածը և փոխում է այն, ինչ ապացուցում է արձանագրությունը։ Այն ինքնություն չի ստեղծում այնտեղ, որտեղ չկար։ Վերսկսված նստաշրջանը դեռ պատկանում է նույն հավելվածային նստաշրջանին, և այդ նստաշրջանի ցանկացած քուքի կամ նշան մնում է կարևոր նույնացուցիչ։
Այդ պատճառով «հաճախորդի սերտիֆիկատ չկա» արտահայտության վրա կանգնող գաղտնիության վերանայումը բաց է թողնում հետաքրքիր մասը։ Հարցը, որը պետք է տալ, այն է, թե որ կողմն ունի կայուն նույնացուցիչ, և ոչ թե, թե որ հաղորդագրությունն էր բացակայում մեկ ձեռքսեղմումից։
Գրանցեք չորս հատկություն, ոչ թե մեկ դատավճիռ
Գրեք բանալու համաձայնությունը, սերվերի ստուգումը, հաճախորդի նույնականացումը և հավելվածի ինքնությունը որպես չորս առանձին տող՝ յուրաքանչյուրի ապացույցով։ Այդ ցանկը դիմանում է արձանագրության տարբերակի փոփոխություններին, և գաղտնիության մասին փաստարկը դարձնում է ուրիշի համար ստուգելի։ Ապա ավելացրեք, թե ինչ է տալիս ցանցային ուղին։ VPN-ը փոխում է այն աղբյուրի հասցեն, որը տեսնում է ծառայությունը, և այն չի հեռացնում մուտքը, քուքին կամ սարքի մատնահետքը, որոնք հավելվածն արդեն ունի։
Գրանցեք միացման բանակցված տարբերակը և սերտիֆիկատի հարցման արդյունքը միասին, քանի որ գրախոսին հենց այդ զույգն է պետք ձեր եզրակացությունը վերարտադրելու համար՝ առանց սեփական գրանցման։