TLS бекитүү жана VPN кирүү ар башка суроолорго жооп берет

Жеке мобилдик колдонмону VPN артына койсоңуз, акылдуу адам ага дагы эле сертификатты бекитүү керекпи деп сурайт. Суроо эки бирдей көзөмөлдүн бирин тандоо сыяктуу угулат, бирок чындыгында эки башка дарбаза тууралуу суроо. VPN бул түзмөктүн жолду пайдаланууга укугу барбы деп чечет; колдонмо жеткен сервер күткөн серверби деп чечет. Экөөнө тең өзүнчө жооп бериңиз, долбоор жөнөкөйлөнөт.

Эки дарбаза, эки суроо

Тармакка кирүү кардарга тиешелүү: бул түзмөк катталганбы, анын күбөлүгү жарактуубу жана саясат аны бул жолго киргизеби? Колдонмонун ишеними серверге тиешелүү: байланыш колдонмо кабыл алган инсандыгы бар кызматка жеттиби? Бул жооптор ар башка системалардан келип, ар башка себептерден ишке ашпайт жана аларды ар башка командалар оңдойт. VPN кол алышуусу ийгиликтүү болушу мүмкүн, ал эми колдонмо өнөктөштүн артындагы мөөнөтү өткөн сертификат менен сүйлөшүп жаткан болушу мүмкүн. Кемчиликсиз бекитилген колдонмого да эч ким жете албашы мүмкүн, анткени түзмөк тармакка такыр кирген эмес.

Экөө кошулат. Бирөөнү алып салуу көзөмөлдү азайтат; экинчисин кошуу аны алмаштырбайт.

Бекитүү чындыгында эмнени чектейт

Бекитүү колдонмо кабыл ала турган сервер инсандыктарынын жыйындысын тарытат, адатта кандайдыр бир кампа кепилдик берген ар бир чынжырга ишенүүнүн ордуна ачык ачкычты же сертификат хешин атайт. Бул кадимки текшерүүнүн үстүнө коюлган чектөө, анын ордун басуучу эмес. Кадимки текшерүү чынжыр жалпысынан ишенимдүүбү деп жооп берет; бекитүү бул колдонмо күткөн чынжырбы деп жооп берет. Биринчи кадамды өткөрүп жиберген ишке ашыруу коопсуздук тапкан жок, жаңылык гана тапты.

Бекитилүүчү объект платформалар боюнча айырмаланат, ошондуктан сөз жалгыз өзү аз нерсе айтат. Бир продуктун ишеним кампасынан хешти көчүрүп, аны мобилдик колдонмодо ошол эле нерсе деп кароо кеңири тараган жана тынч ката.

Платформадагы бекитүү — бул конфигурация, саясат эмес

Android бекитүүнү тармак коопсуздугу конфигурациясы аркылуу сунуштайт, анда бекитүү жыйнагы ачык ачкычтын дайджесттерин кармайт жана чынжырда алардын эң аз дегенде бири болушу керек. Бул файл ар бир колдонмо үчүн жана атайын куруу өзгөртүүсүн талап кылат. iOS үчүн барабар манифест механизми жок, ошондуктан ал жерде бекитүү колдонмонун өзүнүн ишеним баалоо кодунда жашайт.

Механизм башка болгондуктан, талап ар бир платформа үчүн жазылышы керек. Платформаны атабастан сертификатты бекит деген саясат аткарылбайт.

Айландыруу бекитүүнүн сакталарын чечет

Кыйын бөлүгү — биринчи чыгарылыш эмес, андан кийинки сертификатты жаңыртуу. Катуу ишеним саясаты мыйзамдуу жаңы ачкычты чабуулчунун ачкычы сыяктуу эле бекем четке кагат.

Эки механизм айландырууну көтөрүүгө жарактуу кылат: керек болоордон мурун эле ишенилген камдык бекитүү жана бекитүү жыйнагында бүтүү датасы, ошондуктан аткаруу колдонмону бөгөттөөнүн ордуна токтойт. Экөө тең саясий чечим, ал эми мөөнөт өзгөчө коопсуздукту атайын төмөндөтүү, зыянсыз таймер эмес. Колдонмонун курулушун, TLS акыркы чекитин жана сертификатты жаңыртууну ким көзөмөлдөөрүн атап, аларды бир өзгөрүү процессине бириктириңиз. Эгер булар үч башка команда болсо, бекитүү акыры эч ким пландабаган тыныгууну пайда кылат.

Жоголгон түзмөк — үчүнчү маселе

VPN күбөлүгүн жокко чыгаруу колдонмо сессиясын сөзсүз бүтүрбөйт, ал эми серверди бекитүү башканын колундагы телефонго такыр эч нерсе кылбайт. Түзмөк кулпу, күбөлүк сактоо, сессиянын узактыгы жана алыстан жокко чыгаруу — өзүнчө ээлери бар өзүнчө чечимдер. Аларды бекитүү талкуусуна бүктөө алардын бири да долбоорлонбой турганына кепилдик берет.

Көрүп турган бир мамиленин ордуна төрт мамилени сынаңыз: көздөлгөн сервер жана операция, баш тартылышы керек болгон каттоо эсеби, четке кагылышы керек болгон сервер инсандыгы жана пландалган айландыруу. Иштеген VPN биринчисин гана машыктырат. Ар бир сыноо эмнени далилдегенин жазыңыз, анткени кийинки адам жашыл тоннель төртөө тең өттү дегенди билдирет деп ойлойт.