VPN ішіндегі OAuth: қай учаскелер әлі де TLS қажет етеді

Жеке маршруттау серверге кім жететінін шешеді; OAuth тасымалдау ережелері әр хабардың қалай жүретінін шешеді. Браузер, авторизация сервері, токен соңғы нүктесі және ресурс сервері бір VPN-нің артында тұрып, хабарларды әртүрлі учаскелер арқылы алмастыра алады. Әр учаскенің өз тасымалдау талабы бар, және VPN олардың ешқайсысын жеңілдетпейді. VPN шекарасы мен хаттама шекарасы екі түрлі сызық.

Желінің сенімді екенін сұрауды тоқтатып, қай айырбастың қай шекарадан өтетінін сұрай бастасаңыз, шешім жеңілдейді.

Желі бойынша емес, учаске бойынша шешіңіз

Соңғы нүктелерді бөлек жазыңыз: авторизация соңғы нүктесі, токен соңғы нүктесі, қайта бағыттау URI-і, ресурс серверінің URL-і, TLS аяқталу нүктесі және VPN шлюзі. Содан кейін әр сұранысты қай тарап бастайтынын және жауаптың қайда кететінін белгілеңіз.

Шлюзде аяқталатын VPN сегментті сол шлюзге дейін шифрлайды. Сұраныс оның артында қарапайым HTTP ретінде жалғасуы мүмкін, және бұған дейінгі сегмент шифрланғаны үшін қалған учаске HTTPS-ке айналған жоқ. Дәл осы жалғасу хаттамаға маңызды учаске. Бірінші секірісті шифрлау екінші секірісті қауіпсіз етпейді.

Тасымалдау қызмет сәйкестігін тексеруді де алып жүреді. Браузер қолданбаның URL-і үшін сертификатты тексереді; VPN бұл тексеруді браузердің орнына орындамайды және тексерілмеген соңғы нүктені қабылданатын етпейді. Сертификат клиент шақырып жатыр деп ойлайтын соңғы нүктені атайды. Шлюзге баратын туннель ол соңғы нүктені қайта атамайды және тексермейді.

Авторизация жауабы және қайта бағыттау URI-і

OAuth-тың қазіргі үздік қауіпсіздік тәжірибесі авторизация жауаптарын шифрланбаған қосылымдар арқылы жіберуге тыйым салады. Бұл тек бастапқы сұранысты емес, авторизация кодын немесе токендерді клиентке қайтаратын қайта бағыттауды да қамтиды.

Сол нұсқаулық белгіленген native-клиент loopback жағдайын қоспағанда, HTTP қайта бағыттау URI-леріне жол бермейді. Ішкі хост атауы жаңа ерекшелік жасамайды, және тек VPN ішінде шешілетін DNS атауы, схема солай десе, әлі де HTTP URL болып қалады. Тіркелген URI-дегі схеманы тексеріңіз, тек хост атауын емес.

Нақты HTTPS қайта бағыттау URI-ін авторизация серверінде тіркеңіз және клиентте сертификат тексеруін қосулы ұстаңыз. HTTPS талабын басатын әзірлеу жалғауы өзі модельдеуі тиіс өндірістік конфигурациядан өзгеше әрекет ететін ағын жасайды.

Токен соңғы нүктесі және bearer токен сұраныстары

Токен сұранысы кіру үшін айырбастауға болатын тіркелгі деректерін немесе кодты алып жүреді. Оны қорғалмаған учаске арқылы жіберу, айналадағы желі жеке болса да, ресурс сервері кейін сенетін материалды ашады. Сұранысты оқи алатын прокси оның алып жүретін тіркелгі деректерін де оқи алады.

Bearer токенмен ресурс сұраныстары үшін RFC 6750 TLS-ті сол спецификация бойынша іске асыру және пайдалану үшін міндетті деп санайды. Кеңсе ішкі желісін сенімді деп атау ашық мәтінді bearer орналастыруына қажет жалпы хаттамалық ерекшелік емес.

Екі учаске үшін де құжатталған қауіпсіз соңғы нүкте URL-дерін пайдаланыңыз. Егер кітапхана HTTP токен соңғы нүктесін шақырудан бас тартса, бұл бас тарту спецификацияның жұмысы, айналып өтуге тиіс конфигурация қатесі емес. Ол URL-ді орындалу кезінде шығарып алудың орнына клиент конфигурациясына жазыңыз.

TLS қайда аяқталады және ол нені қалдырады

Егер TLS уәкілетті фронтендте аяқталса, сол фронтендті атаңыз және одан қолданбаға дейінгі жолды қарап шығыңыз. Фронтенд қалған сегментте жіберу, сенім және құпиялылық үшін жауапты болады, ал қызметтің қолдау көрсетілетін архитектурасы бұл реттеуді сипаттауы керек.

Жолдың басқа жеріндегі VPN бұл жауапкершіліктерді шешпейді. Ол сондай-ақ браузер көретін қолданба URL-і фронтенд ұсынатын сертификатқа сәйкес келе ме, оны айтпайды.

Ішкі орналастыру үшін аяқталу нүктесін және оның ұсынатын сәйкестігін жазыңыз. TLS-ті басқа атауға арналған сертификатпен аяқтайтын фронтенд операторлар түзетудің орнына жиі басатын браузер ескертуін жасайды.

Native loopback ерекшелігі тар

Loopback қайта бағыттау ерекшелігі пайдаланушының өз құрылғысындағы кері шақыруға қатысты, онда клиент пен браузер сол құрылғыны бөліседі. Бұл реттеу бір құрылғыдағы кері шақыруға жатады және кеңсе ішкі желісіне HTTP арқылы қарапайым авторизация серверін немесе токен алып жүретін API ұсынуға рұқсат бермейді.

Ерекшелікті ол сипаттайтын клиент түрімен және кері шақырумен шектеп ұстаңыз. Оны веб-қолданбаға, ортақ ішкі қызметке немесе басқа хосттағы қайта бағыттау URI-іне қолдану орналастыруды өзгертеді, ерекшелікті емес.

Әр шекарада нақты ағынды сынап көріңіз және оны клиент түрімен салыстырыңыз. Жұмыс істейтін қайта бағыттау токен алып жүрген әр учаскенің талап етілетін қорғанысты пайдаланғаны туралы ештеңе айтпайды, ал жасыл VPN белгісі келесі сұраныстың схемасы туралы ештеңе айтпайды.