Sérsniðið VPN-skilríki er ekki auka dulkóðunarlag

Að setja sérsniðið skilríki á VPN-endapunkt virðist bæta við vernd, því skilríki og dulkóðun birtast hvarvetna saman. Í reynd breytir það tvennu: hvaða auðkenni endapunkturinn sýnir, og hvaða útgefanda hann mótpartur hans er tilbúinn að treysta. Ekkert þeirra vefur gögnin þín í annað sinn. Ef raunverulega þörfin er annar varinn rás, þarftu aðra rás með sínum eigin endapunktum, ekki annað skilríki.

Þrjú aðskilin verk í TLS 1.3 handabandi

RFC 8446 heldur þessu aðskildu, og aðskilnaðurinn sjálfur er allt svarið. Certificate skilaboðin bera skilríkakeðju endapunktsins. CertificateVerify sannar eign á samsvarandi einkalykli og bindur handabandsskrána. Færslulagðið verndar umferð með samningsbundnum umferðarlyklum.

Skiptu um skilríki og fyrstu tveir liðirnir breytast. Færsluvörnin keyrir ekki tvisvar og verður ekki sterkari vegna þess að útgefandinn er nú einkaaðili.

Hvað einkarekinn CA kaupir í raun

Hann kaupir stýrt auðkenniskerfi: þú ákveður hverjir fá útgáfu, þú ákveður hvaða útgefendur mótpartar samþykkja, og þú getur afturkallað samkvæmt þínu eigin tímaáætlun. Það er sannarlega gagnlegt þegar þú rek ur báða enda.

Hann flytur líka inn skyldur. Traust verður að dreifa viljandi, sannprófun mótaðila verður að vera áfram virk, og einhver verður að eiga lífsferil skilríkjanna. Einkarekinn CA er engin flýtileið framhjá neinu þessara þggia.

Hvenær önnur rás er rétta svarið

Segjum að forrit opni sannreynt HTTPS að eigin þjónustu á meðan pakkarnir fara líka um VPN. Sú hönnun hefur tvö mörk með hugsanlega ólíka endapunkta, og svona lítur önnur varin rás út.

Mismunurinn skiptir máli við gáttina. Ef TLS seta forritsins endar við VPN-gáttina í stað forritsins, þá er verndin sem þú hélt að þú hefðir handan við göngin ekki þar. Skrifaðu niður hver endar hverja rás áður en þú krefst eignarinnar.

Spurðu hvað uppsetningin breytir

Beiðni um að setja upp skilríki getur þytt þrennt ólíkt. Hún getur breytt eigin auðkenni biðlarans, traustsakkeri sem er sérstakt fyrir forrit, eða trausti á vettvangsstigi fyrir allt í tækinu. Ðetta er ekki jafngilt, og aðeins hið síðasta hefur áhrif á ótengdan hugbúnað.

Spurðu hvert þriggja er ætlað, og spurðu þá hvað það á að ná. Ef svarið er meiri dulkóðun er tillagan beint að röngu fyrirkomulagi.

Skrifaðu mörkin niður

Fyrir hverja rás skaltu skrá endapunkta, auðkennið sem hvor hlið sannprófar, og hvað stjórnandinn í miðjunni getur séð. Skráðu svo hegðun við bilun: hvað gerist þegar sannprófun mistekst, og hvað gerist þegar rásinni er hafnað.

Tvær línur á einni síðu leysa venjulega deilu sem skilríkaskipti geta ekki leyst.

Ákveddu með þremur spurningum

Er vandamálið hver endapunkturinn segist vera, eða hvað verður um gögnin? ¾arf verndin að halda áfram framhjá VPN-gáttinni að tilteknu forriti? Og geturðu nefnt þá tvo endapunkta sem myndu enda aðra rás?

Ef fyrsta spurningin er sú raunverulega, lagaðu auðkenni og traust. Ef önnur eða þriðja er það, hannaðu aðra rásina og láttu skilríkið vera þar sem það á heima.