TLS кілтін бөлісу және клиент сертификаты: қайсысы жүйеге кіреді?

Қол алысу кезінде ашық кілт алмасу мәнін тасымалдау клиенттің жүйеге кіруімен бір оқиға емес. Біреуі қосылым үшін криптографиялық күй орнатады; екіншісі клиенттің кім екенін білдіреді және сервер оны сұрағанда және алмасу қолдағанда ғана болады. Біріншісін екіншісі ретінде қабылдау VPN нені жасырып, нені жасырмайтыны туралы қате тұжырымдарға әкеледі. Хабарларды оқып, содан кейін төрт қасиеттің қайсысын шын мәнінде байқағаныңызды шешіңіз.

Жазбада бірдей көрінетін екі нысан

TLS 1.3 клиенті бірінші ұшуында ешқандай сертификат ұсынбай-ақ кілт алмасу материалын бере алады. Бұл үлес жобасы бойынша ашық, өйткені серверге ортақ құпияны шығару үшін ол қажет. Клиент сертификаты — басқа хабар, ол сервер сұрағаннан кейін ғана жіберіледі. Ол сервер кейін тексеретін сәйкестікті тасымалдайды, ал өзара аутентификация — шифр жиынтығы талап ететін қасиет емес, сервердің шешімі. Қолданба сәйкестігі мүлдем үшінші нәрсе: кіру пішіні, тасымалдаушы токен, cookie. Олардың ешқайсысы қол алысуда көрінбейді және барлығы желі жолының өзгеруіне төзеді.

Төрт жол тәуелсіз. Қосылымда бірінші және екінші жол болуы, үшіншісін өткізіп жіберуі және төртіншісін cookie тақырыбында тасымалдауы мүмкін.

Ұсталған қол алысудың нені дәлелдей алатынын шешіңіз

Тек қол алысудан бақылаушы келісілген нұсқаны, шифр жиынтығын, сервер сертификатын және ашық кілт алмасу мәндерін біледі. Бұл клиент іске асырылуының саусақ ізін алуға және қай серверге хабарласқанын көруге жетеді. Бермейтіні — қосылымды дешифрлау үшін қажет жеке күй; оның құпиялығы ашық үлеске емес, эфемерлі алмасуға сүйенеді. Ол сондай-ақ есептік жазба сәйкестігін бермейді, ол басынан қол алысуда болмаған.

Сондықтан адал тұжырым тар: бұл алмасуда клиент сертификаты ұсынылған жоқ. Әңгіме клиенттің байланыстыратын ештеңе жібермегенінде емес, және әрине сессияның ешқандай идентификатор тасымалдамағанында емес.

Шифр атын емес, хабарларды оқыңыз

Шифр жиынтығынан болжам жасаудың орнына серверден нені сұрайтынын сұраңыз. Сертификат сұранысы бар TLS 1.3 қол алысуы транскриптте көрінеді, оның жоқтығы да солай көрінеді.

openssl s_client -connect app.example.net:443 -tls1_3 -msg < /dev/null 2>&1 | grep -i -E 'key_share|CertificateRequest'

Содан кейін клиент сертификатын конфигурациялап қайталаңыз және салыстырыңыз. Екінші іске қосу сертификаттың жіберіліп, қабылданғанын көрсетуі керек; біріншісі ештеңе көрсетпеуі керек, және даудың нақты айырмашылығы осында.

openssl s_client -connect app.example.net:443 -tls1_3 -cert client.pem -key client.key -quiet

Егер сізге тек қарапайым шолу жағдайы қажет болса, клиенттің толық шығысы протокол нұсқасын, тексеру нәтижесін және клиент сертификаты ұсынылғанын көруге жеткілікті. Ешқашан сертификат сұранысын жібермейтін сервер оны ала алмаған.

Қайда жалғастыру жауапты өзгертеді

TLS 1.3-те жалғастыру құпия күйге байланған билеттерді пайдаланады, сондықтан кейінгі қосылым толық сертификат алмасуынсыз аяқталуы мүмкін. Бұл бақылаушы көретін нәрсені азайтады және транскрипт дәлелдейтін нәрсені өзгертеді. Ол болмаған жерде сәйкестік жасамайды. Жалғастырылған сессия әлі де сол қолданба сессиясына жатады, және сол сессиядағы кез келген cookie немесе токен маңызды идентификатор болып қалады.

Сондықтан "клиент сертификаты жоқ" деген жерде тоқтайтын құпиялылық шолуы қызықты бөлігін жіберіп алады. Сұралатын сұрақ — қай тарап тұрақты идентификатор ұстайды, бір қол алысудан қай хабар жетіспегені емес.

Бір үкім емес, төрт қасиет жазыңыз

Кілт келісімін, серверді тексеруді, клиент аутентификациясын және қолданба сәйкестігін әрқайсысының дәлелімен бірге төрт бөлек жол ретінде жазыңыз. Бұл тізім протокол нұсқасы өзгергенде де сақталады және құпиялылық туралы дәйекті басқа біреу тексере алатындай етеді. Содан кейін желі жолының үлесін қосыңыз. VPN қызмет көретін бастапқы мекенжайды өзгертеді; ол қолданбада бұрыннан бар кіруді, cookie немесе құрылғының саусақ ізін жоймайды.

Қосылымның келісілген нұсқасын және сертификат сұранысының нәтижесін бірге жазыңыз, өйткені шолушыға өз жазбасынсыз сіздің тұжырымыңызды қайта жаңғырту үшін дәл осы жұп қажет.