მორგებული VPN სერთიფიკატი დამატებითი დაშიფვრის ფენა არ არის
სერთიფიკატი ცვლის იდენტობასა და ნდობას, და არა დაშიფვრის ფენების რაოდენობას. გადაწყვიტეთ კითხვით, რა და სად მთავრდება.
მორგებული სერთიფიკატის VPN-ის ბოლო წერტილზე დაყენება დაცვის დამატებად ჩნდება, რადგან სერთიფიკატები და დაშიფვრა ყველგან ერთად ჭნდება. პრაქტიკაში ის ორ რამეს ცვლის: რომელ იდენტობას წარმოადგენს ბოლო წერტილი და რომელ გამომცემელსაႩ მისი წყვილი მზად არის ენდოს. არც ერთი მთგანი თქვენს მონაცემებს მეორედ არ ახვევს. თუ ნამდვილი მოთხოვნილება მეორე დაცვული არხია, გრძირდებათ მეორე არხი საკუთარი ბოლო წერტილებით და არა კიდევ ერთი სერთიფიკატი.
სამი ცალკე სამუშაო TLS 1.3 ხელის ჩამორთმევაში
RFC 8446 ჰყოფს ამ ყველაფრს და სწორეს ეს გამიჯვნაა მთელი პასუხი. Certificate შეტყობინება ატარებს ბოლო წერტილის სერთიფიკატების ჯაჭვს. CertificateVerify ამტკიცებს შესაბამისი კერძო გასაღების ფლობას და აკავშირებს ხელის ჩამორთმევის ჩანაწერს. ჩანაწერების ფენა იცავს ტრაფიკს შეთანხმებული ტრაფიკის გასაღებებით.
შეცვალეთ სერთიფიკატი და პირველი ორი პუნქტი შეიცვლება. ჩანაწერების დაცვა ორჯერ არ მუშაობს და არ ძლიერდება იმიტომ, რომ გამომცემელი ახლა კერძოა.
რას ყიდულობს სინამდვილეში კერძო CA
ის ყიდულობს კონტროლირებად იდენტობის სისტემას: თქვენ წყვეტთ, ვის გაეცება, თქვენ წყვეთ, რომელ გამომცემლს მიიღებს წყვილი, და შეგიძლიათ გააუქმოთ საკუთარი გრაფიკით. ეს ნამდვლად სასარგებლოა, როცა ორივე ბოლოს თავად მთავრებთ.
ის ვალდებულებებსაც შემოიტანს. ნდობა განზრახ უნდა განაწილდეს, წყვილის შემოწმება ჩართული უნდა დარცეს და სერთიფიკატების სასიცოცხლო ციკლის მფლობელი ვინმე უნდა იყოს. კერძო CA ამ სამიდან არც ერთის გვერდის ავლის მოკლე გზა არ არის.
როდის არის მეორე არხი სწორი პასუხი
დავუშვათ, აპლიკაცია თავის სერვისთან დამოწმებულ HTTPS-ს ხსნის, სანამ მისი პაკეტები VPN-ითაც მოძრაობს. ასეთ დიზაინს ორი საზღვარი აქვს, შესაძლო სხვადასხვა ბოლო წერტილებით, და სწორეს ასე გამოიყურება მეორე დაცვული არხი.
განსხვავება მნიშვნელოვანია კარიბჭესთან. თუ აპლიკაციის TLS სეანსი VPN-ის კარიბჭესთან მთავრდება და არა აპლიკაციაში, მაშინ ის დაცვა, რომელიც გვიპით გქონდეთ გვირაბის იქით, არ არის. ჩამოწერეთ, ვინ ამთავრებს თითოეულ არხს, სადაც ამ თვისებას მოითხოვთ.
იკითხეთ, რას ცვლის დაყენება
სერთიფიკატის დაყენების მოთხოვნა სამ სხვადასხვა რამეს ნიშნავს. მან შეიძლება შეცვალოს კლიენტის საკუთარი იდენტობა, აპლიკაციისთვის სპეციფიკური ნდობის საყრდენი, ან პლატფორმის დონეზე ნდობა მოწყობილობაზე არსებული ყველაფრის მიმართ. ესენი ეკვივალენტური არ არის და მხოლოდ უკანასკნელი ახდენს გავლენას დაუკავშირებელ პროგრამულ უზრუნველყოფას.
იკითხეთ, სამიდან რომელია გულისხმობილი, შემდეგ იკითხეთ, რა უნდა მიაღწიოს მან. თუ პასუხი მეტი დაშიფვრაა, წინადადება არასწორ მექანიზმზე არის მიმართული.
ჩამოწერეთ საზღვრები
თითოეული არხისთვის ჩაწერეთ ბოლო წერტილები, იდენტობა, რომელსაც თითოეული მხარე ამოწმებს, და ის, რისი დანახვას შუაში მყოფ ოპერატორს შეუძლია. შემდეგ ჩაწერეთ წამარხების ქცევა: რა ხდება, როცა შემოწმება ვერ ხერდება, და რა, როცა არხი უარყოფილია.
ერთ გვერდზე ორი სტრიქონი, რასაც სერთიფიკატის როტაცია ვერ წყვეტს, რამენიც რზეთ მთელი კამათს წყვეტს.
გადაწყვიტეთ სამი კითხვით
პრობლემა ის არის, თუ ვინ ამთავრებს თავს ბოლო წერტილად, თუ ის, რა ხდება მონაცემებს? უნდა გაგრძელდეს დაცვა VPN-ის კარიბჭეს გარეთ კონკრეტულ აპლიკაციამდე? და შეგიძლიათ დაასახელოთ ის ორი ბოლო წერტილი, რომელთაც მეორე არქს დაამთავრებდა?
თუ პირველი კითხვა ნამდვილია, გაასწორეთ იდენტობა და ნდობა. თუ მეორე ან მესამეა, დააპროექტეთ მეორე არხი და სერთიფიკატი თავის ადგილზე დატოვეთ.