TLS-ის ჩამაგრება და VPN-ის შესვლა სხვადასხვა კითხვას პასუხობს

მოათავსეთ პირადი მობილური აპი VPN-ის უკან და გონიერი ადამიანი იკითხავს, სჭირდება თუ არა მას ჯერ კიდევ სერტიფიკატის ჩამაგრება. კითხვა ორ თანაბარ კონტროლს შორის არჩევანივით ჟღერს, სინამდვილეში კი ორ სხვადასხვა ჭიშკარზეა. VPN წყვეტს, შეიძლება თუ არა ეს მოწყობილობა საერთოდ გზის გამოყენება; აპი წყვეტს, მიღწეული სერვერი ის არის თუ არა, რომელსაც ელოდა. უპასუხეთ ორივეს ცალ-ცალკე და დიზაინი უფრო მარტივი გახდება.

ორი ჭიშკარი, ორი კითხვა

ქსელში შესვლა კლიენტს ეხება: ეს მოწყობილობა რეგისტრირებულია, მისი სერტიფიკატი ვალიდურია და პოლიტიკა მას ამ გზაზე უშვებს? აპის ნდობა სერვერს ეხება: კავშირი მიაღწია სერვისს, რომლის იდენტობასაც აპი იღებს? ეს პასუხები სხვადასხვა სისტემიდან მოდის, სხვადასხვა მიზეზით ვარდება და სხვადასხვა გუნდი ასწორებს მათ. VPN-ის ხელის ჩამორთმევა შეიძლება წარმატებული იყოს, მაშინ როცა აპი ვადაგასულ სერტიფიკატს ესაუბრება პარტნიორის მიღმა. სრულყოფილად ჩამაგრებული აპი მაინც შეიძლება ყველასთვის მიუწვდომელი დარჩეს, რადგან მოწყობილობა ქსელში არასოდეს შესულა.

ორივე ერთმანეთს ემატება. ერთის გამოტოვება კონტროლს აკლებს; მეორის დამატება მას არ ცვლის.

რას ზღუდავს ჩამაგრება სინამდვილეში

ჩამაგრება ავიწროებს სერვერის იდენტობების სიმრავლეს, რომელსაც აპი მიიღებს, ჩვეულებრივ საჯარო გასაღების ან სერტიფიკატის ჰეშის დასახელებით, ნებისმიერი ჯაჭვის ნდობის ნაცვლად, რომელსაც რომელიმე საცავი გაირეკლავდა. ეს ჩვეულებრივ ვალიდაციაზე დადებული შეზღუდვაა და არა მისი შემცვლელი. ჩვეულებრივი ვალიდაცია პასუხობს, სანდოა თუ არა ჯაჭვი საერთოდ; ჩამაგრება პასუხობს, ის ჯაჭვია თუ არა, რომელსაც ეს აპი ელოდება. იმპლემენტაცია, რომელიც პირველ საფეხურს გამოტოვებს, უსაფრთხოება არ მოუგია, მხოლოდ სიახლე.

ჩამაგრებადი ობიექტი პლატფორმების მიხედვით განსხვავდება, ამიტომ სიტყვა მარტო ძალიან ცოტას გეუბნებათ. ერთი პროდუქტის ნდობის საცავიდან ჰეშის კოპირება და მობილურ აპში მისი იმავე რამად მიჩნევა გავრცელებული და ჩუმი შეცდომაა.

პლატფორმაზე ჩამაგრება კონფიგურაციაა და არა პოლიტიკა

Android ჩამაგრებას ქსელური უსაფრთხოების კონფიგურაციით ავლენს, სადაც ჩამაგრების ნაკრები საჯარო გასაღების დაიჯესტებს ინახავს და ჯაჭვი უნდა შეიცავდეს მათგან ერთს მაინც. ეს ფაილი თითოეული აპისთვისაა და განზრახ აწყობის ცვლილებას მოითხოვს. iOS-ს ეკვივალენტური მანიფესტის მექანიზმი არ აქვს, ამიტომ იქ ჩამაგრება თავად აპის ნდობის შეფასების კოდში ცხოვრობს.

ვინაიდან მექანიზმი განსხვავებულია, მოთხოვნა თითოეული პლატფორმისთვის უნდა დაიწეროს. პოლიტიკა, რომელიც ამბობს ჩამორთე სერტიფიკატი პლატფორმის დასახელების გარეშე, განსახორციელებელი არ არის.

როტაცია წყვეტს, გადარჩება თუ არა ჩამაგრება

რთული ნაწილი პირველი გამოშვება არ არის, არამედ მის შემდეგ სერტიფიკატის განახლება. მკაცრი ნდობის პოლიტიკა ლეგიტიმურ ახალ გასაღებს ისე მტკიცედ უარყოფს, როგორც თავდამსხმელისას.

ორი მექანიზმი ხდის როტაციას გადასატანს: სარეზერვო ჩამაგრება, რომელსაც სანდოდ თვლიან ჯერ კიდევ სანამ დასჭირდება, და ვადის გასვლის თარიღი ჩამაგრების ნაკრებზე, რათა აღსრულება შეწყდეს და არა აპი ჩაიკეტოს. ორივე პოლიტიკის გადაწყვეტილებაა და კერძოდ ვადა უსაფრთხოების განზრახ შემცირებაა და არა უვნებელი ტაიმერი. დაასახელეთ, ვინ აკონტროლებს აპის აწყობას, TLS-ის ბოლო წერტილსა და სერტიფიკატის განახლებას, და მოაქციეთ ისინი ერთი ცვლილების პროცესში. თუ ეს სამი სხვადასხვა გუნდია, ჩამაგრება საბოლოოდ გამოიწვევს შეფერხებას, რომელიც არავის დაუგეგმავს.

დაკარგული მოწყობილობა მესამე პრობლემაა

VPN-ის სერტიფიკატის გაუქმება სულაც არ ამთავრებს აპის სესიას, ხოლო სერვერის ჩამაგრება სრულიად არაფერს აკეთებს სხვის ხელში მყოფ ტელეფონზე. მოწყობილობის ჩაკეტვა, სერტიფიკატების შენახვა, სესიის ხანგრძლივობა და დისტანციური გაუქმება ცალკეული გადაწყვეტილებებია ცალკეული მფლობელებით. მათი ჩამაგრების განხილვაში ჩაკეცვა იმის გარანტიაა, რომ არც ერთი მათგანი არ იქნება დაპროექტებული.

გამოსცადეთ ოთხი კავშირი თქვენ მიერ დანახული ერთის ნაცვლად: განზრახული სერვერი და ოპერაცია, ანგარიში, რომელიც უნდა უარყოფილ იქნას, სერვერის იდენტობა, რომელიც უნდა დაიწუნოს, და დაგეგმილი როტაცია. მუშა VPN მხოლოდ პირველს ვარჯიშობს. ჩამიწერეთ, რა დაამტკიცა თითოეულმა ტესტმა, რადგან შემდეგი ადამიანი იფიქრებს, რომ მწვანე გვირაბი ნიშნავს ოთხივეს გავლას.