TLS-ի ամրակապումը և VPN-ի մուտքը պատասխանում են տարբեր հարցերի
Ամրակապումը սահմանափակում է, թե որ սերվերին է հավատում հավելվածը. VPN-ի քաղաքականությունը որոշում է, թե ով է հասնում ցանցին։ Դրանցից ոչ մեկը չի ծածկում լիազորումը կամ կորած սարքը։
Տեղադրեք մասնավոր բջջային հավելվածը VPN-ի հետևում, և խելամիտ մարդը կհարցնի՝ արդյոք այն դեռ կարիք ունի վկայագրի ամրակապման։ Հարցը հնչում է որպես ընտրություն երկու համարժեք վերահսկողության միջև, բայց իրականում հարց է երկու տարբեր դարպասների մասին։ VPN-ը որոշում է, թե արդյոք այս սարքը ընդհանրապես կարող է օգտվել ուղուց, իսկ հավելվածը որոշում է, թե արդյոք հասած սերվերը նա է, որին սպասում էր։ Պատասխանեք երկուսին առանձին, և ձևավորումը կդառնա ավելի պարզ։
Երկու դարպաս, երկու հարց
Ցանցային մուտքը վերաբերում է հաճախորդին՝ արդյոք այս սարքը գրանցված է, արդյոք նրա հավատարմագիրն վավեր է, և արդյոք քաղաքականությունը թույլ է տալիս նրան այս ուղով։ Հավելվածի վստահությունը վերաբերում է սերվերին՝ արդյոք կապը հասել է ծառայության, որի ինքնությունը հավելվածն ընդունում է։ Այս պատասխանները գալիս են տարբեր համակարգերից, ձախողվում են տարբեր պատճառներով, և տարբեր թիմեր են ուղղում դրանք։ VPN-ի ձեռքսեղմումը կարող է հաջողվել, մինչ հավելվածը խոսում է ժամկետանց վկայագրի հետ զուգընկերոջ հետևում։ Կատարյալ ամրակապված հավելվածը կարող է մնալ անհասանելի բոլորի համար, որովհետև սարքը երբեք ցանց չի մտել։
Երկուսը գումարվում են։ Մեկի բացթողումը հեռացնում է վերահսկողություն, իսկ մյուսի ավելացումը չի փոխարինում այն։
Ինչն է իրականում սահմանափակում ամրակապումը
Ամրակապումը նեղացնում է սերվերի ինքնությունների բազմությունը, որը հավելվածը կընդունի, սովորաբար անվանելով հանրային բանալի կամ վկայագրի հեշ՝ փոխարենը վստահելու յուրաքանչյուր շղթայի, որի համար ինչ-որ պահոց կերաշխավորեր։ Դա սովորական վավերացման վրա դրված սահմանափակում է, ոչ թե դրա փոխարինումը։ Սովորական վավերացումը պատասխանում է, թե արդյոք շղթան ընդհանրապես վստահելի է, իսկ ամրակապումը՝ թե արդյոք դա այն շղթան է, որին այս հավելվածը սպասում է։ Այն իրականացումը, որը բաց է թողնում առաջին քայլը, անվտանգություն չի շահել, այլ միայն նորույթ։
Ամրակապվող օբյեկտը տարբերվում է հարթակների միջև, ուստի բառը միայնակ շատ քիչ բան է ասում։ Մեկ արտադրանքի վստահության պահոցից հեշ պատճենելը և այն բջջային հավելվածում նույն բանը համարելը սովորական և լուռ սխալ է։
Հարթակում ամրակապումը կարգավորում է, ոչ թե քաղաքականություն
Android-ը ամրակապումը ցուցադրում է իր ցանցային անվտանգության կարգավորման միջոցով, որտեղ ամրակապման հավաքածուն պահում է հանրային բանալու մարսողներ, և շղթան պետք է պարունակի դրանցից գոնե մեկը։ Այդ ֆայլը յուրաքանչյուր հավելվածի համար է և պահանջում է դիտավոր կառուցման փոփոխություն։ iOS-ը չունի համարժեք մանիֆեստի մեխանիզմ, ուստի այնտեղ ամրակապումը ապրում է հավելվածի սեփական վստահության գնահատման կոդում։
Քանի որ մեխանիզմը տարբեր է, պահանջը պետք է գրվի յուրաքանչյուր հարթակի համար։ Քաղաքականությունը, որն ասում է ամրակապիր վկայագիրը՝ չնշելով հարթակը, իրագործելի չէ։
Փոխարինումը որոշում է, թե արդյոք ամրակապումը կդիմանա
Դժվար մասը առաջին թողարկումը չէ, այլ դրանից հետո վկայագրի նորացումը։ Խիստ վստահության քաղաքականությունը մերժում է օրինական նոր բանալին նույնքան հաստատ, որքան հարձակվողի բանալին։
Երկու մեխանիզմ փոխարինումը դարձնում են դիմանալի՝ պահուստային ամրակապում, որին վստահում են դեռ կարիքից առաջ, և ամրակապման հավաքածուի ժամկետի ավարտի ամսաթիվ, որպեսզի պարտադրումը դադարի, այլ ոչ թե արգելափակի հավելվածը։ Երկուսն էլ քաղաքականության որոշումներ են, և հատկապես ժամկետի ավարտը անվտանգության դիտավոր նվազեցում է, ոչ թե անվնաս ժամաչափ։ Անվանեք, թե ով է վերահսկում հավելվածի կառուցումը, TLS-ի վերջնակետը և վկայագրի նորացումը, և հավաքեք նրանց մեկ փոփոխության գործընթացում։ Եթե դրանք երեք տարբեր թիմեր են, ամրակապումը վաղ թե ուշ կառաջացնի ընդհատում, որը ոչ ոք չէր պլանավորել։
Կորած սարքը երրորդ խնդիրն է
VPN-ի հավատարմագիրը չեղարկելը պարտադիր չէ, որ ավարտի հավելվածի նստաշրջանը, և սերվերի ամրակապումը բացարձակապես ոչինչ չի անում ուրիշի ձեռքում գտնվող հեռախոսի համար։ Սարքի կողպումը, հավատարմագրերի պահեստավորումը, նստաշրջանի տևողությունը և հեռավոր չեղարկումը առանձին որոշումներ են՝ առանձին տերերով։ Դրանք ամրակապման քննարկման մեջ ծալելը երաշխավորում է, որ դրանցից ոչ մեկը չի ձևավորվի։
Փորձարկեք չորս հարաբերություն՝ տեսանելի մեկի փոխարեն՝ նախատեսված սերվերն ու գործողությունը, հաշիվ, որը պետք է մերժվի, սերվերի ինքնություն, որը պետք է մերժվի, և նախատեսված փոխարինումը։ Աշխատող VPN-ը վարժեցնում է միայն առաջինը։ Գրեք, թե ինչ ապացուցեց յուրաքանչյուր փորձարկում, որովհետև հաջորդ մարդը կենթադրի, որ կանաչ թունելը նշանակում է, որ բոլոր չորսն անցել են։