VPN ಒಳಗಿನ OAuth: ಯಾವ ಹಂತಗಳಿಗೆ ಇನ್ನೂ TLS ಬೇಕು

ಖಾಸಗಿ ಮಾರ್ಗನಿರ್ದೇಶನವು ಯಾರು ಸರ್ವರ್ ತಲುಪುತ್ತಾರೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ; OAuth ನ ಸಾಗಣೆ ನಿಯಮಗಳು ಪ್ರತಿ ಸಂದೇಶ ಹೇಗೆ ಸಾಗುತ್ತದೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತವೆ. ಬ್ರೌಸರ್, ಅನುಮತಿ ಸರ್ವರ್, ಟೋಕನ್ ಎಂಡ್ಪಾಯಿಂಟ್ ಮತ್ತು ಸಂಪನ್ಮೂಲ ಸರ್ವರ್ ಎಲ್ಲವೂ ಒಂದೇ VPN ಹಿಂದೆ ಇರಬಹುದು ಮತ್ತು ಆದರೂ ಬೇರೆ ಬೇರೆ ಹಂತಗಳ ಮೂಲಕ ಸಂದೇಶಗಳನ್ನು ವಿನಿಮಯ ಮಾಡಬಹುದು. ಪ್ರತಿ ಹಂತಕ್ಕೂ ತನ್ನದೇ ಸಾಗಣೆ ಅಗತ್ಯವಿದೆ, ಮತ್ತು VPN ಅವುಗಳಲ್ಲಿ ಯಾವುದನ್ನೂ ಸಡಿಲಗೊಳಿಸುವುದಿಲ್ಲ. VPN ನ ಗಡಿ ಮತ್ತು ಪ್ರೋಟೋಕಾಲ್ನ ಗಡಿ ಎರಡು ಬೇರೆ ರೇಖೆಗಳು.

ನೆಟ್ವರ್ಕ್ ವಿಶ್ವಾಸಾರ್ಹವೇ ಎಂದು ಕೇಳುವುದನ್ನು ನಿಲ್ಲಿಸಿ, ಯಾವ ವಿನಿಮಯ ಯಾವ ಗಡಿ ದಾಟುತ್ತದೆ ಎಂದು ಕೇಳಲು ಪ್ರಾರಂಭಿಸಿದರೆ ನಿರ್ಧಾರ ಸುಲಭವಾಗುತ್ತದೆ.

ನೆಟ್ವರ್ಕ್ ಪ್ರಕಾರವಲ್ಲ, ಹಂತದ ಪ್ರಕಾರ ನಿರ್ಧರಿಸಿ

ಎಂಡ್ಪಾಯಿಂಟ್ಗಳನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ಬರೆಯಿರಿ: ಅನುಮತಿ ಎಂಡ್ಪಾಯಿಂಟ್, ಟೋಕನ್ ಎಂಡ್ಪಾಯಿಂಟ್, ಮರುನಿರ್ದೇಶನ URI, ಸಂಪನ್ಮೂಲ ಸರ್ವರ್ನ URL, TLS ಮುಕ್ತಾಯ ಬಿಂದು ಮತ್ತು VPN ಗೇಟ್ವೇ. ನಂತರ ಪ್ರತಿ ವಿನಂತಿಯನ್ನು ಯಾವ ಪಕ್ಷ ಪ್ರಾರಂಭಿಸುತ್ತದೆ ಮತ್ತು ಪ್ರತಿಕ್ರಿಯೆ ಎಲ್ಲಿಗೆ ಹೋಗುತ್ತದೆ ಎಂಬುದನ್ನು ಗುರುತಿಸಿ.

ಗೇಟ್ವೇಯಲ್ಲಿ ಕೊನೆಗೊಳ್ಳುವ VPN ಆ ಗೇಟ್ವೇವರೆಗಿನ ವಿಭಾಗವನ್ನು ಎನ್ಕ್ರಿಪ್ಟ್ ಮಾಡುತ್ತದೆ. ವಿನಂತಿ ಅದರ ಹಿಂದೆ ಸಾಮಾನ್ಯ HTTP ಆಗಿ ಮುಂದುವರಿಯಬಹುದು, ಮತ್ತು ಹಿಂದಿನ ವಿಭಾಗ ಎನ್ಕ್ರಿಪ್ಟ್ ಆದ ಕಾರಣ ಆ ಉಳಿದ ಹಂತ HTTPS ಆಗಿಲ್ಲ. ಆ ಮುಂದುವರಿಕೆಯೇ ಪ್ರೋಟೋಕಾಲ್ಗೆ ಮುಖ್ಯವಾದ ಹಂತ. ಮೊದಲ ಜಿಗಿತವನ್ನು ಎನ್ಕ್ರಿಪ್ಟ್ ಮಾಡುವುದು ಎರಡನೇ ಜಿಗಿತವನ್ನು ಸುರಕ್ಷಿತಗೊಳಿಸುವುದಿಲ್ಲ.

ಸಾಗಣೆಯು ಸೇವಾ ಗುರುತಿನ ಪರಿಶೀಲನೆಯನ್ನೂ ಒಯ್ಯುತ್ತದೆ. ಬ್ರೌಸರ್ ಅಪ್ಲಿಕೇಶನ್ URL ಗಾಗಿ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಪರಿಶೀಲಿಸುತ್ತದೆ; VPN ಆ ಪರಿಶೀಲನೆಯನ್ನು ಬ್ರೌಸರ್ನ ಪರವಾಗಿ ಮಾಡುವುದಿಲ್ಲ, ಮತ್ತು ಪರಿಶೀಲಿಸದ ಎಂಡ್ಪಾಯಿಂಟ್ ಅನ್ನು ಸ್ವೀಕಾರಾರ್ಹವಾಗಿಸುವುದಿಲ್ಲ. ಪ್ರಮಾಣಪತ್ರವು ಕ್ಲೈಂಟ್ ಕರೆಯುತ್ತಿದೆ ಎಂದು ಭಾವಿಸುವ ಎಂಡ್ಪಾಯಿಂಟ್ ಅನ್ನು ಹೆಸರಿಸುತ್ತದೆ. ಗೇಟ್ವೇಗೆ ಹೋಗುವ ಸುರಂಗವು ಆ ಎಂಡ್ಪಾಯಿಂಟ್ ಅನ್ನು ಮರುನಾಮಕರಣ ಮಾಡುವುದಿಲ್ಲ ಅಥವಾ ಪರಿಶೀಲಿಸುವುದಿಲ್ಲ.

ಅನುಮತಿ ಪ್ರತಿಕ್ರಿಯೆ ಮತ್ತು ಮರುನಿರ್ದೇಶನ URI

OAuth ನ ಪ್ರಸ್ತುತ ಅತ್ಯುತ್ತಮ ಭದ್ರತಾ ಅಭ್ಯಾಸವು ಎನ್ಕ್ರಿಪ್ಟ್ ಮಾಡದ ಸಂಪರ್ಕಗಳ ಮೇಲೆ ಅನುಮತಿ ಪ್ರತಿಕ್ರಿಯೆಗಳನ್ನು ರವಾನಿಸುವುದನ್ನು ನಿಷೇಧಿಸುತ್ತದೆ. ಇದು ಅನುಮತಿ ಕೋಡ್ ಅಥವಾ ಟೋಕನ್ಗಳನ್ನು ಕ್ಲೈಂಟ್ಗೆ ಹಿಂತಿರುಗಿಸುವ ಮರುನಿರ್ದೇಶನವನ್ನೂ ಒಳಗೊಳ್ಳುತ್ತದೆ, ಆರಂಭಿಕ ವಿನಂತಿ ಮಾತ್ರವಲ್ಲ.

ಅದೇ ಮಾರ್ಗದರ್ಶನವು ನಿರ್ದಿಷ್ಟ ನೇಟಿವ್ ಕ್ಲೈಂಟ್ ಲೂಪ್ಬ್ಯಾಕ್ ಪ್ರಕರಣವನ್ನು ಹೊರತುಪಡಿಸಿ HTTP ಮರುನಿರ್ದೇಶನ URI ಗಳನ್ನು ಅನುಮತಿಸುವುದಿಲ್ಲ. ಆಂತರಿಕ ಹೋಸ್ಟ್ನಾಮ್ ಹೊಸ ವಿನಾಯಿತಿಯನ್ನು ಸೃಷ್ಟಿಸುವುದಿಲ್ಲ, ಮತ್ತು VPN ಒಳಗೆ ಮಾತ್ರ ಪರಿಹರಿಸುವ DNS ಹೆಸರು, ಸ್ಕೀಮ್ ಹಾಗೆ ಹೇಳಿದರೆ, ಇನ್ನೂ HTTP URL ಆಗಿದೆ. ನೋಂದಾಯಿತ URI ನಲ್ಲಿ ಸ್ಕೀಮ್ ಪರಿಶೀಲಿಸಿ, ಹೋಸ್ಟ್ನಾಮ್ ಮಾತ್ರವಲ್ಲ.

ನಿಖರವಾದ HTTPS ಮರುನಿರ್ದೇಶನ URI ಅನ್ನು ಅನುಮತಿ ಸರ್ವರ್ನಲ್ಲಿ ನೋಂದಾಯಿಸಿ ಮತ್ತು ಕ್ಲೈಂಟ್ನಲ್ಲಿ ಪ್ರಮಾಣಪತ್ರ ಪರಿಶೀಲನೆಯನ್ನು ಆನ್ ಆಗಿ ಇರಿಸಿ. HTTPS ಅಗತ್ಯವನ್ನು ಒತ್ತಿಹೇಳದ ಮಾಡುವ ಅಭಿವೃದ್ಧಿ ಶಾರ್ಟ್ಕಟ್, ಅದು ಅನುಕರಿಸಬೇಕಾದ ಉತ್ಪಾದನಾ ಸಂರಚನೆಗಿಂತ ಭಿನ್ನವಾಗಿ ವರ್ತಿಸುವ ಹರಿವನ್ನು ಉತ್ಪಾದಿಸುತ್ತದೆ.

ಟೋಕನ್ ಎಂಡ್ಪಾಯಿಂಟ್ ಮತ್ತು ಬೇರರ್ ಟೋಕನ್ ವಿನಂತಿಗಳು

ಟೋಕನ್ ವಿನಂತಿಯು ರುಜುವಾತುಗಳನ್ನು ಅಥವಾ ಪ್ರವೇಶಕ್ಕೆ ವಿನಿಮಯ ಮಾಡಬಹುದಾದ ಕೋಡ್ ಅನ್ನು ಒಯ್ಯುತ್ತದೆ. ಅದನ್ನು ಅಸುರಕ್ಷಿತ ಹಂತದ ಮೇಲೆ ಕಳುಹಿಸುವುದು, ಸುತ್ತಮುತ್ತಲಿನ ನೆಟ್ವರ್ಕ್ ಖಾಸಗಿಯಾಗಿದ್ದರೂ, ಸಂಪನ್ಮೂಲ ಸರ್ವರ್ ನಂತರ ನಂಬುವ ಸಾಮಗ್ರಿಯನ್ನು ಬಹಿರಂಗಪಡಿಸುತ್ತದೆ. ವಿನಂತಿಯನ್ನು ಓದಬಲ್ಲ ಪ್ರಾಕ್ಸಿ ಅದು ಒಯ್ಯುವ ರುಜುವಾತನ್ನೂ ಓದಬಲ್ಲದು.

ಬೇರರ್ ಟೋಕನ್ ಸಂಪನ್ಮೂಲ ವಿನಂತಿಗಳಿಗೆ RFC 6750 ಆ ವಿಶೇಷಣೆಗೆ TLS ಅನ್ನು ಅಳವಡಿಸಲು ಮತ್ತು ಬಳಸಲು ಕಡ್ಡಾಯವೆಂದು ಪರಿಗಣಿಸುತ್ತದೆ. ಕಚೇರಿ ಉಪಜಾಲವನ್ನು ವಿಶ್ವಾಸಾರ್ಹ ಎಂದು ಕರೆಯುವುದು ಸರಳ ಪಠ್ಯ ಬೇರರ್ ನಿಯೋಜನೆಗೆ ಬೇಕಾದ ಸಾಮಾನ್ಯ ಪ್ರೋಟೋಕಾಲ್ ವಿನಾಯಿತಿಯಲ್ಲ.

ಎರಡೂ ಹಂತಗಳಿಗೆ ದಾಖಲಿತ ಸುರಕ್ಷಿತ ಎಂಡ್ಪಾಯಿಂಟ್ URL ಗಳನ್ನು ಬಳಸಿ. ಒಂದು ಗ್ರಂಥಾಲಯವು HTTP ಟೋಕನ್ ಎಂಡ್ಪಾಯಿಂಟ್ ಅನ್ನು ಕರೆಯಲು ನಿರಾಕರಿಸಿದರೆ, ಆ ನಿರಾಕರಣೆ ವಿಶೇಷಣೆ ಕೆಲಸ ಮಾಡುತ್ತಿರುವುದು, ತಪ್ಪಿಸಬೇಕಾದ ಸಂರಚನಾ ದೋಷವಲ್ಲ. ಆ URL ಅನ್ನು ರನ್ಟೈಮ್ನಲ್ಲಿ ಪಡೆಯುವ ಬದಲು ಕ್ಲೈಂಟ್ ಸಂರಚನೆಯಲ್ಲಿ ದಾಖಲಿಸಿ.

TLS ಎಲ್ಲಿ ಕೊನೆಗೊಳ್ಳುತ್ತದೆ ಮತ್ತು ಅದು ಏನನ್ನು ಬಿಡುತ್ತದೆ

TLS ಅಧಿಕೃತ ಫ್ರಂಟೆಂಡ್ನಲ್ಲಿ ಕೊನೆಗೊಂಡರೆ, ಆ ಫ್ರಂಟೆಂಡ್ ಅನ್ನು ಹೆಸರಿಸಿ ಮತ್ತು ಅದರಿಂದ ಅಪ್ಲಿಕೇಶನ್ವರೆಗಿನ ಮಾರ್ಗವನ್ನು ಪರಿಶೀಲಿಸಿ. ಫ್ರಂಟೆಂಡ್ ಉಳಿದ ವಿಭಾಗದಲ್ಲಿ ಮುಂದುಗಡೆ ಕಳುಹಿಸುವಿಕೆ, ವಿಶ್ವಾಸ ಮತ್ತು ಗೋಪ್ಯತೆಗೆ ಜವಾಬ್ದಾರವಾಗುತ್ತದೆ, ಮತ್ತು ಸೇವೆಯ ಬೆಂಬಲಿತ ವಾಸ್ತುಶಿಲ್ಪವು ಆ ವ್ಯವಸ್ಥೆಯನ್ನು ವಿವರಿಸಬೇಕು.

ಮಾರ್ಗದ ಬೇರೆ ಎಡೆಯಲ್ಲಿರುವ VPN ಆ ಜವಾಬ್ದಾರಿಗಳನ್ನು ಪರಿಹರಿಸುವುದಿಲ್ಲ. ಬ್ರೌಸರ್ ನೋಡುವ ಅಪ್ಲಿಕೇಶನ್ URL ಫ್ರಂಟೆಂಡ್ ಒದಗಿಸುವ ಪ್ರಮಾಣಪತ್ರಕ್ಕೆ ಹೊಂದುತ್ತದೆಯೇ ಎಂಬುದನ್ನೂ ಅದು ಹೇಳುವುದಿಲ್ಲ.

ಆಂತರಿಕ ನಿಯೋಜನೆಗೆ, ಮುಕ್ತಾಯ ಬಿಂದು ಮತ್ತು ಅದು ಒದಗಿಸುವ ಗುರುತನ್ನು ದಾಖಲಿಸಿ. ಬೇರೆ ಹೆಸರಿನ ಪ್ರಮಾಣಪತ್ರದೊಂದಿಗೆ TLS ಅನ್ನು ಕೊನೆಗೊಳಿಸುವ ಫ್ರಂಟೆಂಡ್, ನಿರ್ವಾಹಕರು ಸರಿಪಡಿಸುವ ಬದಲು ಆಗಾಗ್ಗೆ ಒತ್ತಿಹೇಳದ ಮಾಡುವ ಬ್ರೌಸರ್ ಎಚ್ಚರಿಕೆಯನ್ನು ಸೃಷ್ಟಿಸುತ್ತದೆ.

ನೇಟಿವ್ ಲೂಪ್ಬ್ಯಾಕ್ ವಿನಾಯಿತಿ ಸಂಕುಚಿತವಾಗಿದೆ

ಲೂಪ್ಬ್ಯಾಕ್ ಮರುನಿರ್ದೇಶನ ವಿನಾಯಿತಿಯು ಬಳಕೆದಾರರ ಸ್ವಂತ ಸಾಧನದಲ್ಲಿ ನಡೆಯುವ ಕಾಲ್ಬ್ಯಾಕ್ಗೆ ಸಂಬಂಧಿಸಿದೆ, ಅಲ್ಲಿ ಕ್ಲೈಂಟ್ ಮತ್ತು ಬ್ರೌಸರ್ ಆ ಸಾಧನವನ್ನು ಹಂಚಿಕೊಳ್ಳುತ್ತವೆ. ಆ ವ್ಯವಸ್ಥೆ ಒಂದೇ ಸಾಧನದ ಕಾಲ್ಬ್ಯಾಕ್ಗೆ ಸೇರಿದ್ದು, ಕಚೇರಿ ಉಪಜಾಲಕ್ಕೆ HTTP ಮೂಲಕ ಸಾಮಾನ್ಯ ಅನುಮತಿ ಸರ್ವರ್ ಅಥವಾ ಟೋಕನ್ ಒಯ್ಯುವ API ಒದಗಿಸಲು ಅನುಮತಿ ನೀಡುವುದಿಲ್ಲ.

ವಿನಾಯಿತಿಯನ್ನು ಅದು ವಿವರಿಸುವ ಕ್ಲೈಂಟ್ ಪ್ರಕಾರ ಮತ್ತು ಕಾಲ್ಬ್ಯಾಕ್ಗೆ ಸೀಮಿತವಾಗಿ ಇರಿಸಿ. ಅದನ್ನು ವೆಬ್ ಅಪ್ಲಿಕೇಶನ್, ಹಂಚಿದ ಆಂತರಿಕ ಸೇವೆ ಅಥವಾ ಬೇರೆ ಹೋಸ್ಟ್ನಲ್ಲಿರುವ ಮರುನಿರ್ದೇಶನ URI ಗೆ ಅನ್ವಯಿಸುವುದು ನಿಯೋಜನೆಯನ್ನು ಬದಲಿಸುತ್ತದೆ, ವಿನಾಯಿತಿಯನ್ನಲ್ಲ.

ಪ್ರತಿ ಗಡಿಯಲ್ಲಿ ನಿಜವಾದ ಹರಿವನ್ನು ಪರೀಕ್ಷಿಸಿ ಮತ್ತು ಕ್ಲೈಂಟ್ ಪ್ರಕಾರದೊಂದಿಗೆ ಹೋಲಿಸಿ. ಕೆಲಸ ಮಾಡುವ ಮರುನಿರ್ದೇಶನವು ಟೋಕನ್ ಒಯ್ದ ಪ್ರತಿ ಹಂತವೂ ಅಗತ್ಯವಾದ ರಕ್ಷಣೆಯನ್ನು ಬಳಸಿದೆಯೇ ಎಂಬುದರ ಬಗ್ಗೆ ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ, ಮತ್ತು ಹಸಿರು VPN ಚಿಹ್ನೆ ಮುಂದಿನ ವಿನಂತಿಯ ಸ್ಕೀಮ್ ಬಗ್ಗೆ ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ.