TLS бекіту мен VPN рұқсаты әртүрлі сұрақтарға жауап береді

Жеке мобильді қосымшаны VPN-ның артына қойыңыз, сонда парасатты адам оған әлі де сертификатты бекіту керек пе деп сұрайды. Сұрақ екі тең бақылаудың бірін таңдау сияқты естіледі, бірақ шын мәнінде екі түрлі қақпа туралы сұрақ. VPN бұл құрылғының жолды пайдалануға рұқсаты бар-жоғын шешеді; қосымша жеткен сервер күткен сервер ме екенін шешеді. Екеуіне бөлек жауап берсеңіз, дизайн қарапайым болады.

Екі қақпа, екі сұрақ

Желіге кіру клиентке қатысты: бұл құрылғы тіркелген бе, оның куәлігі жарамды ма және саясат оны осы жолға жібереді ме? Қосымшаның сенімі серверге қатысты: байланыс қосымша қабылдайтын сәйкестігі бар қызметке жетті ме? Бұл жауаптар түрлі жүйелерден келеді, түрлі себептермен сәтсіз болады және оларды түрлі командалар түзетеді. VPN қол алысуы сәтті болуы мүмкін, ал қосымша серіктестің артындағы мерзімі өткен сертификатпен сөйлесіп жатса. Мінсіз бекітілген қосымшаға да ешкім жете алмауы мүмкін, өйткені құрылғы желіге ешқашан кірмеген.

Екеуі қосылады. Біреуін алып тастау бақылауды жояды; екіншісін қосу оны алмастырмайды.

Бекіту шын мәнінде нені шектейді

Бекіту қосымша қабылдайтын сервер сәйкестіктерінің жиынын тарылтады, әдетте қандай да бір қойма кепілдік беретін әрбір тізбекке сенудің орнына ашық кілтті немесе сертификат хэшін атайды. Бұл қарапайым тексеруге қосылған шектеу, оның алмастырғышы емес. Қарапайым тексеру тізбектің тұтастай сенімді екенін жауаптайды; бекіту бұл қосымша күтетін тізбек пе екенін жауаптайды. Бірінші қадамды өткізіп жіберген іске асыру қауіпсіздік таппады, тек жаңалық тапты.

Бекітілетін нысан платформалар арасында ерекшеленеді, сондықтан сөз жалғыз өзі аз нәрсе айтады. Бір өнімнің сенім қоймасынан хэшті көшіріп, оны мобильді қосымшада сол нәрсе деп қарау кең таралған және тыныш қате.

Платформадағы бекіту — бұл конфигурация, саясат емес

Android бекітуді желі қауіпсіздігі конфигурациясы арқылы ұсынады, онда бекіту жиыны ашық кілттің дайджесттерін ұстайды және тізбекте олардың кемінде біреуі болуы тиіс. Бұл файл әр қосымша үшін және әдейі жасалған құрастыру өзгерісін талап етеді. iOS-те балама манифест механизмі жоқ, сондықтан онда бекіту қосымшаның өз сенім бағалау кодында өмір сүреді.

Механизм өзгеше болғандықтан, талапты әр платформа үшін жазу керек. Платформаны атамай сертификатты бекіт деген саясатты орындау мүмкін емес.

Айналдыру бекітудің сақталатынын шешеді

Қиын бөлігі — бірінші шығарылым емес, одан кейінгі сертификатты жаңарту. Қатаң сенім саясаты заңды жаңа кілтті шабуылдаушының кілті сияқты қатты қабылдамайды.

Екі механизм айналдыруды өткеруге болатын етеді: қажет болмай тұрып сенілетін қосалқы бекіту және бекіту жиынындағы мерзім аяқталу күні, осылайша орындау қосымшаны бұғаттаудың орнына тоқтайды. Екеуі де саяси шешім, ал мерзім әсіресе қауіпсіздікті әдейі төмендету, зиянсыз таймер емес. Қосымшаның құрастырылуын, TLS соңғы нүктесін және сертификатты жаңартуды кім басқаратынын атап өтіп, оларды бір өзгеріс процесіне біріктіріңіз. Егер бұлар үш түрлі команда болса, бекіту ақыр соңында ешкім жоспарламаған іркіліс тудырады.

Жоғалған құрылғы — үшінші мәселе

VPN куәлігін қайтарып алу қосымша сессиясын міндетті түрде аяқтамайды, ал серверді бекіту басқаның қолындағы телефонға мүлде ештеңе істемейді. Құрылғы құлпы, куәлік сақтау, сессия ұзақтығы және қашықтан қайтарып алу — жеке иелері бар бөлек шешімдер. Оларды бекіту талқысына бүктеу олардың ешбірінің жобаланбайтынына кепілдік береді.

Көріп отырған бір қатынас орнына төрт қатынасты сынаңыз: көзделген сервер мен операция, бас тартылуы тиіс тіркелгі, қабылданбауы тиіс сервер сәйкестігі және жоспарланған айналдыру. Жұмыс істейтін VPN тек біріншісін жаттықтырады. Әр тест нені дәлелдегенін жазыңыз, өйткені келесі адам жасыл туннель төртеуі де өтті дегенді білдіреді деп ойлайды.