Basisauthentifikatioun iwwer HTTPS géint IPsec: wat jidderee schützt

Maacht d’Entwécklerwerkzeuge op, lued d’intern Applikatioun a kuckt wéi eng Ufro véier Kontrollpunkte passéiert ier d’Säit ugewise gëtt. Als éischt gëtt den Numm opgeléist, duerno gëtt eng TCP-Verbindung opgemaach, duerno bestëmmt en TLS-Handshake wien de Server ass, an eréischt duerno freet d’Applikatioun wien Dir sidd. Behandelt dat als getrennt Evenementer, well jiddwereen mat anere Beweiser feelt an jiddweree vun engem aneren Team gehéiert. De gréissten Deel vun der Duerchernee bei Incidenter kënnt dohier, datt een eng 401 als Tunnelproblem liest, oder en Tunnelproblem als schlecht Passwuert.

Kontrollpunkt éischt: ass dat de Server mat deem Dir wëllt schwätzen

Den TLS-Handshake beäntwert déi Fro ier iergendeng Authentifikatiounsdaten geschéckt ginn. Äre Client validéiert d’Zertifikatsketten géint eng Vertrauensspäicher an iwwerpréift, datt den Numm am Zertifikat zum Host passt deen Dir getippt hutt. Wann dat feelt, weist de Browser e Zertifikatsfehler a schéckt den Authorization-Header guer net. Eng Passwuertufuerderung ass also kee Beweis datt de Server echt ass; et ass e Beweis datt d’Applikatioun geäntwert huet.

Hei erschéngt déi éischt Grenz. TLS schützt d’Verbindung bis zu hirem Endpunkt. Wann e Loadbalancer TLS ofschléisst an einfachen HTTP un d’Applikatioun weidergëtt, endet de verschlüsselte Segment beim Loadbalancer, an d’Authentifikatiounsdaten si just op deem éischte Sprong geschützt.

Kontrollpunkt zweet: wat tatsächlech an engem 401-Austausch reest

HTTP-Basisauthentifikatioun schéckt de Benotzeridentifikator an d’Passwuert an engem Header, mat Base64 kodéiert wéi beschriwwen an RFC 7617. Authorization: Basic dXNlcjpwYXNz ass d’Form; d’Kodéierung kann vun jidderengem ëmgedréint ginn deen d’Ufro liese kann, also kënnt déi ganzt Geheimhalung vum Transport drënner. curl -v weist souwuel d’WWW-Authenticate: Basic-Erausfuerderung wéi och den Header deen Dir zréckschéckt.

Dee Header seet der Applikatioun wien freet. Hie seet dem Netzwierk net wien sech verbannen däerf, an hie verschlësselt selwer näischt. D’Applikatioun muss d’Authentifikatiounsdaten nach ëmmer géint eng Späicher préifen an entscheeden wat dee Kont maache kann, wat Autorisatioun ass a no der Authentifikatioun geschitt.

Wou den IPsec-Tunnel an deem Wee läit

Gitt elo vum Browser aus no baussen. En IPsec-Tunnel tëscht Gateways schützt ausgewielten Trafic tëscht zwee Sécherheetsgateways, net tëscht Ärem Laptop an dem Applikatiounsprozess. ESP am Tunnelmodus packt de urspréngleche Paket an, d’Gateways verschlësselen an authentifizéieren en, an déi bannenzeg Adressen iwwerliewen, sou datt déi wäit Säit d’Ufro op d’Applikatioun ka routeren.

D’Auswiel ass deen Deel wou d’Leit stolperen. Politikbaséiert Tunnele benotze Trafikselektoren, dacks als Zougriffs-Kontrolllëschten ausgedréckt, fir ze entscheeden wéi eng Pakete an den Tunnel kommen. Routbaséiert Tunnele benotzen amplaz eng virtuell Interface an d’Routingtabell. Ënner Linux weist ip xfrm policy d’Selektoren an ip xfrm state déi ageriicht Sécherheetsassociatiounen; op engem Firewall-Apparat ass d’Äquivalent d’SA-Tabell vum Tunnel plus en Paket-Tracer.

D’Konsequenz verdéngt et kloer gesot ze ginn. E Paket kann an engem komplett gesonden Tunnel sëtzen an awer eng HTTPS-Ufro droen déi d’Applikatioun refuséiert, a gülteg Authentifikatiounsdaten kënnen iwwer e Wee ouni iergendeen Tunnel ukommen wann d’Routing et erlaabt.

Liest de Feeler op där Schicht déi en gemellt huet

Eng 401 bedeit datt d’Applikatioun d’Authentifikatiounsdaten net akzeptéiert huet. Eng 403 bedeit datt se d’Identitéit akzeptéiert an d’Operatioun verweigert huet. En TLS-Fehler bedeit datt de Client de Server net akzeptéiert huet. Keng Route oder eng Politik-Diskrepanz bedeit datt de Paket ni bei de wäite Gateway ukomm ass. Véier verschidde Feeler, véier verschidden Eegentmer, an keen dovun gëtt diagnostizéiert andeems een op d’Loginformulär kuckt.

Benotzt d’Beweiser déi all Schicht produzéiert: d’Netzwierkpanel vum Browser fir Status a Header, openssl s_client -connect host:443 fir d’Zertifikatsketten, d’SA-Zieler an d’Logge vum Gateway fir den Tunnel-Trafic, an d’Log vun der Applikatioun fir d’Kontentscheedung. Wann zwou Schichte gläichzäiteg Feeler melden, reparéiert d’éischt déi ënnescht, well en doudegen Tunnel eng Authentifikatiounsfeeler liicht ka maskéieren an ëmgedréit.

Kaart engem Service vum Ufank bis zum Enn

Schreift fënnef Zeilen fir de Service deen Dir ënnersicht: wéi eng Peeren den Tunnel verbënnt, wéi eng Subnetzer a Porten d’Selektoren erlaben, wou TLS endet a wéi eng Identitéit d’Zertifikat behaapt, wéi en Applikatiounskont a Roll benotzt gëtt, a wou all Schicht loggt. Halt se op enger Säit, well de Sënn vun der Kaart ass ze weisen wou d’Verantwortung vun enger Schicht ophält an déi nächst ufänkt.

Test dann ee negative Fall pro Schicht. Benotzt e falscht Passwuert a bestätegt datt Dir eng 401 kritt, net eng Zäitüberschreidung. Verbënnt Iech vun engem Subnetz baussent de Selektoren a bestätegt datt de Paket net duerch den Tunnel geet. Weist en Zertifikat fir de falschen Numm vir a bestätegt datt de Client refuséiert ier en Authentifikatiounsdaten schéckt. Déi dräi Resultater soen Iech méi iwwer den Design wéi iergendeen Diagramm mat Këschten.

Entscheet schlussendlech bewosst wéi eng Schutz all Bezéiung brauch. Basisauthentifikatioun iwwer TLS ass eng raisonnabel Wiel fir e klengt internen Instrument hannert engem Gateway; se ersetzt weder d’Autorisatioun pro Benotzer nach de Schutz vum Trafic iwwer den TLS-Endpunkt eraus. Den Tunnel schützt de Wee, d’Zertifikat schützt de Sprong, an d’401 schützt de Kont, a just déi lescht weess wien Dir sidd.