TLS fer inni í stjórnrásinni, ekki um allan gönguna

Að sjá orðið TLS í VPN-lýsingu og álykta að vefproxy muni skilja umferðina er algeng stytting. Inni í þessari siðareglu skiptast jafningjarnir á eigin pökkum, og TLS keyrir sem hluti af einni rás innan þeirra skipta. Gagnsleysið sem notandann varðar fer í öðru skilaboðasniði, og þess vegna passa þau tvö aldrei við venjulega HTTPS-lotu.

Umbúðirnar koma fyrst

Sérhver göngupakki byrjar á eigin haus siðareglunnar: skilaboðagerð, lykilauðkenni og, á bætarásarflutningi, lengdarforskeyti sem markar hvar pakkinn endar. Lesandi sem þáttar ekki þessar umbúðir getur ekki vitað hvar næsta svið byrjar.

outer transport (UDP datagram or TCP stream)
  -> OpenVPN header (opcode, key id, length where needed)
    -> control message (reliability wrapper, TLS exchange)
    -> data message (protected inner packet)

Þessi skissa er kort en ekki bætatöflukort, því nákvæmu sviðin ráðast af skilaboðagerðinni, þótt fyrsti oktettinn pakki alltaf aðgerðarkóðanum og lykilauðkenninu saman. Að giska á skilaboðagerðina út frá portnúmerinu er leiðin sem afkóðarar enda á að nefna það sem þeir sjá rangt. Röðin er það sem skiptir máli við greiningu: flutningur, svo umbúðir siðareglunnar, svo önnur af tveimur tegundum vinnu. Lestu umbúðirnar áður en þú myndar þér skoðun á því sem kemur á eftir. Afkóðari sem byrjar á röngum stað framleiðir sjálfsörugga fánýti.

Áreiðanleikastigið tilheyrir siðareglunni

Stjórnskilaboð þurfa skipulega, staðfesta afhendingu, og siðareglan sér sjálf um það með staðfestingum og endursendingum. Staðfesting getur komið sem eigið skilaboð eða ferðast með öðrum stjórnskilaboðum, sem lætur slóðir líta óreglulega út fyrir hvern þann sem væntir einna hreinna skipta.

Kosturinn er að TLS-handabandið fær áreiðanlegan burðarefni jafnvel þótt ytri flutningurinn sé UDP. Kostnaðurinn er að eitt datagram getur aðeins innihaldið hluta þess samtals, svo að meðhöndla það sem sjálfstæða TLS-færslu framleiðir fánýti. Endursamsetning verður að eiga sér stað á siðareglulagi. Þess vegna lítur handsamaður pakki sjaldan út eins og heilt handabandsskref.

Að skipta ytri flutningnum yfir í TCP fjarlægir ekki þetta lag. Áreiðanlegur flutningur þýðir færri endursendingar á siðareglustigi, ekki að ramminn hverfi eða að umferðin verði HTTP.

Gagnapakkar nota annað snið

Þegar lotan er til koma gagnlegu farmarnir sem gagnaskilaboð sem bera innri IP-pakka eða Ethernet-ramma. Þeir eru varðir með eigin lyklum og eigin vinnslu, og þeir eru ekki TLS-forritsfærslur í neinum skilningi sem TLS-safn myndi samþykkja.

Þessi aðgreining sést í stillingum: stjórnrásin og gagnarásin hafa aðskildar dulritunarstillingar, svo línulína sem nefnir aðra segir þér ekkert um hina. Að lesa sterka stjórndulritun sem sönnun fyrir sterkri gagnadúlritun er algeng skýrsluvilla.

Haltu líka tengdum misskilningi utan skýringarinnar. TLS er ekki almenningslyklárás sem situr við hlið samhverfrar gagnarásar, því TLS verndar sjálft færslur sínar samhverft þegar lyklar hafa verið settir. Raunverulegi munurinn er hlutverk og pakkasnið, ekki hvers konar dulritun hvor hlið notar.

Hvers vegna HTTPS-proxy getur ekki hjálpað

Proxy sem lýkur TLS væntir TLS-færslustraums og svo forritarsiðareglu inni í honum. Stjórnrás þessarar siðareglu er borin inni í eigin ramma með áreiðanleikastigi í kring, svo proxy sem lýkur les þann ramma sem skemmdan inntak.

Gegnsæi framsendingaraðili sem sendir bæti eða datagram án þess að túlka þau getur virkað, að því gefnu að hann endurskrifi eða endursetji strauminn ekki. Spurningin sem á að spyrja um hvern millilið er hvort hann sendir raunverulegan flutning og ramma, ekki hvort hann styður TLS einhvers staðar. Spurðu þess áður en þú eyðir kvöldi í proxy-reglur. Flest mistök hér eru byggingarlæg en ekki vantar stillingu.

Að lesa slóð rétt

Væntu fyrst stjórnskipta, svo miklu fleiri gagnaskilaboða, bæði deila einum flutningi. Ef stjórnstigið klárast og gagnastigið stöðvast varðar gallinn lykla, leiðsögn eða síun gagnaleiðarinnar en ekki handabandið. Gríptu nokkur gagnaskilaboð og athugaðu hvort þau yfirgefa biðlarann yfirhöfuð. Þessi eina athugun klýfur leitina í tvennt.

Sögulegar lýsingar á lyklaraðferðum í siðaregluskjölunum gefa ekki í skyn að tiltekin útgáfa styðji enn hvert gamalt snið. Athugaðu útgáfuna sem þú keyrir áður en þú byggir væntingar á málsgrein sem lýsir því hvernig hlutirnir virkuðu áður.