Sertifikat VPN kustom bukan lapisan enkripsi tambahan

Memasang sertifikat kustom pada endpoint VPN terasa seperti menambah perlindungan, karena sertifikat dan enkripsi selalu muncul bersama. Dalam praktiknya ini mengubah dua hal: identitas mana yang ditampilkan endpoint, dan penerbit mana yang bersedia dipercaya oleh rekannya. Tidak satu pun dari keduanya membungkus data Anda untuk kedua kalinya. Jika kebutuhan sebenarnya adalah kanal terlindungi kedua, Anda perlu kanal kedua dengan endpoint-nya sendiri, bukan sertifikat lain.

Tiga pekerjaan terpisah dalam handshake TLS 1.3

RFC 8446 memisahkan hal-hal ini, dan pemisahan itulah jawabannya. Pesan Certificate membawa rantai sertifikat endpoint. CertificateVerify membuktikan kepemilikan kunci privat yang cocok dan mengikat transkrip handshake. Lapisan record melindungi lalu lintas dengan kunci lalu lintas yang dinegosiasikan.

Ganti sertifikatnya dan dua hal pertama berubah. Perlindungan record tidak berjalan dua kali, dan tidak menjadi lebih kuat karena penerbitnya kini privat.

Apa yang sebenarnya dibeli CA privat

Ia membeli sistem identitas yang terkendali: Anda menentukan siapa yang diterbitkan, Anda menentukan penerbit mana yang diterima rekan, dan Anda dapat mencabut sesuai jadwal Anda sendiri. Itu benar-benar berguna ketika Anda menjalankan kedua ujungnya.

Namun ia juga mendatangkan kewajiban. Kepercayaan harus didistribusikan secara sengaja, verifikasi rekan harus tetap aktif, dan siklus hidup kredensial harus dimiliki seseorang. CA privat bukan jalan pintas untuk melewati ketiganya.

Kapan kanal kedua adalah jawaban yang tepat

Misalkan sebuah aplikasi membuka HTTPS terverifikasi ke layanannya sendiri sementara paketnya juga melewati VPN. Desain itu punya dua batas dengan endpoint yang mungkin berbeda, dan seperti itulah kanal terlindungi kedua.

Perbedaannya penting di gateway. Jika sesi TLS aplikasi berakhir di gateway VPN alih-alih di aplikasi, perlindungan yang Anda kira Anda miliki di balik terowongan tidak ada di sana. Tuliskan siapa yang mengakhiri setiap kanal sebelum mengklaim properti itu.

Tanyakan apa yang diubah instalasi

Permintaan untuk memasang sertifikat bisa berarti tiga hal berbeda. Ia bisa mengubah identitas klien itu sendiri, jangkar kepercayaan khusus aplikasi, atau kepercayaan seluruh platform untuk semua yang ada di perangkat. Itu tidak setara, dan hanya yang terakhir memengaruhi perangkat lunak yang tidak terkait.

Tanyakan mana dari ketiganya yang dimaksud, lalu tanyakan apa yang seharusnya dicapai. Jika jawabannya lebih banyak enkripsi, usulan itu diarahkan ke mekanisme yang salah.

Tuliskan batas-batasnya

Untuk setiap kanal, catat endpoint, identitas yang diverifikasi tiap sisi, dan apa yang bisa dilihat operator di tengah. Lalu catat perilaku kegagalan: apa yang terjadi saat verifikasi gagal, dan apa yang terjadi saat kanal ditolak.

Dua baris di satu halaman biasanya menyelesaikan perdebatan yang tidak bisa diselesaikan oleh rotasi sertifikat.

Putuskan dengan tiga pertanyaan

Apakah masalahnya siapa yang diklaim endpoint, atau apa yang terjadi pada data? Apakah perlindungan perlu berlanjut melewati gateway VPN ke aplikasi tertentu? Dan dapatkah Anda menyebutkan dua endpoint yang akan mengakhiri kanal kedua?

Jika pertanyaan pertama yang sebenarnya, perbaiki identitas dan kepercayaan. Jika yang kedua atau ketiga, rancang kanal kedua dan biarkan sertifikat di tempatnya.