OAuth innan VPN: hvaða hlutar krefjast enn TLS

Einkarekin leiðsla ákveður hver nær í þjóninn; flutningsreglur OAuth ákveða hvernig hver skilaboð ferðast. Vafri, heimildarþjónn, táknaendapunktur og auðlindaþjónn geta allir verið á bak við sama VPN og samt skipt skilaboðum um mismunandi hluta. Hver hluti hefur sína eigin flutningskröfu, og VPN slakar ekki á neinni þeirra. VPN-mörkin og samskiptareglumörkin eru tvær mismunandi línur.

Ákvörðunin er auðveldari ef þú hættir að spyrja hvort netið sé traust og byrjar að spyrja hvaða skipti fari yfir hvaða mörk.

Ákveddu eftir hluta, ekki eftir neti

Skrifaðu endapunktana sér: heimildarendapunktur, táknaendapunktur, endurbeiningar-URI, URL auðlindaþjónsins, TLS-endapunktur og VPN-gátt. Merktu síðan hvaða aðili hefur frumkvæði að hverri beiðni og hvert svarið fer.

VPN sem endar við gátt dulkóðar hlutann að þeirri gátt. Beiðnin getur haldið áfram sem venjulegt HTTP á bak við hana, og sá hluti sem eftir er hefur ekki orðið HTTPS vegna þess að fyrri hluti var dulkóðaður. Einmitt það framhald er hluturinn sem samskiptareglurnar hafa áhyggjur af. Að dulkóða fyrsta stökkið gerir annað stökkið ekki öruggt.

Flutningurinn ber einnig auðkenningarprófun þjónustu. Vafrinn staðfestir vottorðið fyrir URL forritsins; VPN framkvæmir ekki þá staðfestingu fyrir hönd vafrans og gerir óstaðfestan endapunkt ekki ásættanlegan. Vottorðið nefnir endapunktinn sem biðlarinn telur sig kalla á. Göng að gátt endurnefnir ekki þann endapunkt og staðfestir hann ekki.

Heimildarsvarið og endurbeiningar-URIið

Núverandi besta öryggisvenja OAuth bannar að senda heimildarsvör yfir ódulkóðuð tenging. Það nær yfir endurbeininguna sem ber heimildarkóðann eða táknin til baka til biðlarans, ekki aðeins upphafsbeiðnina.

Sömu leiðbeiningar leyfa ekki HTTP-endurbeiningar-URI, nema tilgreint loopback-tilvik fyrir innfædda biðlara. Innra hýsilnafn skapar ekki nýja undantekningu, og DNS-nafn sem leysist aðeins innan VPN er enn HTTP URL ef kerfið segir svo. Athugaðu kerfið í skráða URIinu, ekki aðeins hýsilnafnið.

Skráðu nákvæma HTTPS-endurbeiningar-URI hjá heimildarþjóninum og hafðu vottorðsstaðfestingu virka á biðlaranum. Þróunarstytting sem bælir HTTPS-kröfuna framleiðir flæði sem hegðar sér öðruvísi en framleiðslustillingin sem hún á að líkja eftir.

Táknaendapunkturinn og beiðnir með berandi tákni

Táknabeiðnin ber skilríki eða kóða sem hægt er að skipta fyrir aðgang. Að senda hana yfir óvarið strik afhjúpar efni sem auðlindaþjónninn mun treysta síðar, jafnvel þótt netið í kring sé einkarekið. Proxy sem getur lesið beiðnina getur líka lesið skilríkið sem hún ber.

Fyrir auðlindabeiðnir með berandi tákni telur RFC 6750 TLS skyldubundið að útfæra og nota fyrir þá forskrift. Að kalla skrifstofunetið traust er ekki hin almenna samskiptaregluundantekning sem berandi uppsetning í hreinum texta þarf.

Notaðu skjalfestu öruggu endapunktaslóðirnar fyrir báða hluta. Ef bókasafn neitar að kalla HTTP-táknaendapunkt er sú synjun forskriftin að virka, ekki stillingarvilla til að fara fram hjá. Skráðu þá slóð í stillingar biðlarans í stað þess að leiða hana út á keyrslutíma.

Hvar TLS endar og hvað stendur eftir

Ef TLS endar á heimildum framenda skaltu nefna þann framenda og fara yfir leiðina þaðan í forritið. Framendinn verður ábyrgur fyrir áframleiðslu, trausti og trúnaði á þeim hluta sem eftir er, og studd arkitektúr þjónustunnar ætti að lýsa þeirri ráðstöfun.

VPN annars staðar á leiðinni leysir ekki þá ábyrgð. Það segir þér heldur ekki hvort URL forritsins sem vafrinn sér passi við vottorðið sem framendinn sýnir.

Fyrir innri uppsetningu skaltu skrá endapunktinn og auðkennið sem hann sýnir. Framendinn sem endar TLS með vottorði fyrir annað nafn skapar vafraviðvörun sem stjórnendur bæla oft í stað þess að laga.

Undantekningin fyrir innfæddan loopback er þröng

Loopback-endurbeiningarundantekningin varðar endurkall á eigin tæki notandans, þar sem biðlarinn og vafrinn deila því tæki. Sú ráðstöfun tilheyrir endurkalli á einu tæki og veitir ekki leyfi til að þjóna venjulegum heimildarþjóni eða API sem ber tákn yfir HTTP til skrifstofunets.

Haltu undantekningunni takmarkaðri við biðlarategundina og endurkallið sem hún lýsir. Að beita henni á vefforrit, sameiginlega innri þjónustu eða endurbeiningar-URI á öðrum hýsli breytir uppsetningunni, ekki undantekningunni.

Prófaðu raunverulegt flæði við hver mörk og berðu það saman við biðlarategundina. Endurbeining sem virkar segir ekkert um hvort hver hluti sem bar tákn notaði tilskilda vernd, og grænt VPN-tákn segir ekkert um kerfi næstu beiðni.