En eegene VPN-Zertifikat ass keng zousätzlech Verschlësselungsschicht

En eegene Zertifikat op engem VPN-Endpunkt z'installéieren fillt sech wéi zousätzleche Schutz un, well Zertifikater a Verschlësselung iwwerall zesummen optrieden. An der Praxis ännert et zwou Saachen: wéi eng Identitéit den Endpunkt presentéiert, a wéi en Aussteller säi Géigeniwwer bereet ass ze vertrauen. Keng vun deenen zwee packt Är Daten en zweeten Kéier an. Wann déi richteg Ufuerderung en zweeten agesécherte Kanal ass, braucht Dir en zweeten Kanal mat sengen eegenen Endpunkten, an net nach en Zertifikat.

Dräi getrennt Aufgabe beim TLS 1.3-Handshake

RFC 8446 hält dës Saachen auserneen, an déi Auserneenhuelung ass déi ganz Äntwert. D'Certificate-Noriicht dréit d'Zertifikatskette vum Endpunkt. CertificateVerify beweist de Besëtz vum passenden private Schlëssel a bënnt d'Handshake-Transkript. D'Record-Schicht schützt den Traffic mat de ausgehandelten Traffic-Schlësselen.

Tauscht den Zertifikat aus an déi éischt zwee Punkte änneren sech. De Record-Schutz leeft net zweemol a gëtt net méi staark, just well den Aussteller elo privat ass.

Wat eng privat CA wierklech kaaft

Si kaaft en kontrolléierten Identitéitssystem: Dir entscheet, wien ausgestallt kritt, Dir entscheet, wéi eng Aussteller d'Géigeniwwer akzeptéieren, an Dir kënnt no Ärem eegenen Zäitplang widerrufen. Dat ass wierklech nëtzlech, wann Dir béid Enner bedreift.

Si bréngt awer och Flichten mat. Vertraue muss bewosst verdeelt ginn, d'Géigeniwwerprëfung muss u bleiwen, an een muss den Hannergrond vum Liewenszyklus vun den Zoustännegkeeten hunn. Eng privat CA ass keen Ofkierzung ëm eng vun dësen dräi.

Wéini eng zweet Kanal déi richteg Äntwert ass

Stellt Iech vir, eng Applikatioun mécht e verifizéierten HTTPS op hirem eegene Service op, während hir Paketen och duerch eng VPN ginn. Dësen Design huet zwou Grenzen mat méiglecherweis verschiddenen Endpunkten, an esou gesäit en zweeten agesécherte Kanal aus.

Den Ënnerscheed ass wichteg um Gateway. Wann d'TLS-Sessioun vun der Applikatioun um VPN-Gateway ophält an net an der Applikatioun, dann ass de Schutz, vun deem Dir geduecht hutt, Dir hätt en hannert dem Tunnel, net do. Schreift op, wien all Kanal ophält, ier Dir d'Eegeschaft behaapt.

Frot, wat d'Installatioun ännert

Eng Ufro fir en Zertifikat z’installéieren kann dräi verschidden Saachen heeschen. Et kann d’Identitéit vum Client selwer änneren, en anwendungsspezifeschen Vertrauensanker, oder Plattform-wäit Vertraue fir alles um Apparat. Dat ass net gläichwäerteg, an nëmmen dat Lescht beaflosst onverbonnen Software.

Frot, wéi eng vun den dräi gemengt ass, an dann, wat se soll erreechen. Wann d'Äntwert méi Verschlësselung ass, zielt de Virschlag op de falsche Mechanismus.

Schreift d'Grenzen op

Fir all Kanal notéiert d'Endpunkten, d'Identitéit déi all Säit verifizéiert, an wat den Operateur an der Mëtt gesäit. Duerno notéiert d'Fehlerverhalen: wat geschitt, wann d'Verifizéierung feelt, a wat geschitt, wann de Kanal ofgeleent gëtt.

Zwou Zeilen op enger Säit entscheeden normalerweis eng Diskussioun, déi eng Zertifikatsrotatioun net entscheede kann.

Entscheet mat dräi Froen

Ass de Problem, wien den Endpunkt behaapt ze sinn, oder wat mat den Daten geschitt? Muss de Schutz iwwer de VPN-Gateway eraus bis zu enger bestämmter Applikatioun goen? A kënnt Dir déi zwee Endpunkte benennen, déi eng zweet Kanal ophale géifen?

Wann déi éischt Fro déi richteg ass, maacht Identitéit a Vertrauen an d'Rei. Wann et déi zweet oder drëtt ass, entwërft den zweeten Kanal a loosst den Zertifikat, wou en higehéiert.