OAuth bannent engem VPN: wéi eng Deeler nach ëmmer TLS verlaangen

Privat Routing entscheet, wien den Server erreecht; d'Transportregele vum OAuth entscheeden, wéi all Noriicht reest. E Browser, en Autorisatiounsserver, en Token-Endpunkt an e Ressourceserver kënnen all hannert demselwe VPN sëtzen an trotzdeem Noriichten iwwer verschidden Deeler austauschen. All Deel huet seng eege Transportufuerderung, an de VPN lockert keng dovun. D'VPN-Grenz an d'Protokollgrenz sinn zwou verschidde Linnen.

D'Entscheedung ass méi einfach, wann Dir ophält ze froen, ob den Netz vertraut ass, an ufänkt ze froen, wéi en Austausch wéi eng Grenz iwwerquiert.

Entscheet pro Deel, net pro Netz

Schreift d'Endpunkten eenzel op: Autorisatiouns-Endpunkt, Token-Endpunkt, Ëmleedungs-URI, URL vum Ressourceserver, TLS-Endpunkt an VPN-Gateway. Markéiert dann, wéi eng Partei all Ufro ausléist a wou d'Äntwert higeet.

En VPN, deen um Gateway ophält, verschlësselt den Deel bis zu deem Gateway. D'Ufro kann hannendrun als gewéinlech HTTP weidergoen, an deen Deel dee Rescht bleift ass net HTTPS ginn, well en éischten Deel verschlësselt gouf. Genee déi Fortsetzung ass den Deel, ëm deen et dem Protokoll geet. Den éischte Sprong verschlësselen mécht den zweeten Sprong net sécher.

Den Transport dréit och eng Prüfung vun der Déngschtidentitéit. De Browser validéiert d'Zertifikat fir d'URL vun der Applikatioun; en VPN mécht déi Validatioun net am Numm vum Browser, an en mécht en net validéierten Endpunkt net akzeptabel. D'Zertifikat nennt den Endpunkt, vun deem de Client mengt, datt en en oprufft. En Tunnel bis op e Gateway benennt deen Endpunkt net ëm an validéiert en och net.

D'Autorisatiounsäntwert an d'Ëmleedungs-URI

Déi aktuell bescht Sécherheetspraktik vum OAuth verbitt Autorisatiounsäntwerten iwwer net verschlësselt Verbindungen ze schécken. Dat ëmfaasst d'Ëmleedung, déi den Autorisatiounscode oder d'Tokenen zréck un de Client bréngt, net just déi éischt Ufro.

Déiselwecht Leedung erlaabt keng HTTP-Ëmleedungs-URIen, ausser dem spezifizéierten Loopback-Fall fir native Clienten. En interne Hostname schaaft keng nei Ausnam, an en DNS-Numm, dee just bannent dem VPN opgeléist gëtt, ass nach ëmmer eng HTTP-URL, wann d'Schema dat seet. Kontrolléiert d'Schema an der registréierter URI, net just den Hostname.

Registréiert déi genee HTTPS-Ëmleedungs-URI beim Autorisatiounsserver a loosse d'Zertifikatsvalidatioun um Client ageschalt. Eng Entwécklungskuerzstreck, déi d'HTTPS-Ufuerderung ënnerdréckt, produzéiert e Floss, dee sech anescht verhält wéi d'Produktiounskonfiguratioun, déi en duerft modeléieren.

Den Token-Endpunkt an d'Ufroen mam Bearer-Token

D'Tokenufro dréit Umeldungsinformatiounen oder e Code, dee géint Zougang ka getosch ginn. Se iwwer en ongeschützten Deel ze schécken, leet Material oppen, op dat de Ressourceserver spéider vertraut, och wann den Ëmgéigendnetz privat ass. E Proxy, deen d'Ufro ka liesen, ka sech déi Umeldungsinformatioun liesen, déi se dréit.

Fir Ressourcesufroe mam Bearer-Token betruecht RFC 6750 TLS als obligatoresch fir ze implementéieren an ze benotzen an där Spezifikatioun. Den Office-Subnet als vertraut ze bezeechnen ass net déi allgemeng Protokollausnam, déi eng Bearer-Oplagung am Kloertext brauch.

Benotzt déi dokumentéiert sécher Endpunkt-URLen fir béid Deeler. Wann eng Bibliothéik sech weigert en HTTP-Token-Endpunkt opzeruffen, dann ass déi Weigerung d'Spezifikatioun, déi funktionéiert, keen Konfiguratiounsfehler fir ëmzegoen. Schreift déi URL an d'Clientkonfiguratioun amplaz se zur Lafzäit ofzeleeden.

Wou den TLS ophält a wat dat hannerléisst

Wann den TLS op engem autoriséierte Frontend ophält, nennt dee Frontend a kuckt de Wee vun do bis op d'Applikatioun no. De Frontend gëtt verantwortlech fir d'Weiderginn, Vertrauen a Vertraulechkeet um reschtlechen Deel, an déi ënnerstëtzt Architektur vum Déngscht soll déi Opstellung beschreiwen.

En VPN soss anzwuesch um Wee reegelt déi Verantwortlechkeeten net. En seet Iech och net, ob d'Applikatiouns-URL, déi de Browser gesäit, mam Zertifikat iwwereneestëmmt, deen de Frontend virweist.

Fir eng intern Oplagung, notéiert den Endpunkt an d'Identitéit, déi en virweist. En Frontend, deen den TLS mat engem Zertifikat fir en aneren Numm ophält, schaaft eng Browserwarnung, déi Betreiber dacks ënnerdrécken amplaz se ze reparéieren.

D'Ausnam fir native Loopback ass schmuel

D'Loopback-Ëmleedungsausnam geet ëm en Zeréckruff um Apparat vum Benotzer selwer, wou de Client an de Browser deen Apparat deelen. Déi Opstellung gehéiert zu engem Zeréckruff op engem eenzegen Apparat, an se erlaabt et net, en normale Autorisatiounsserver oder eng API mat Tokenen iwwer HTTP un en Office-Subnet ze zerwéieren.

Halt d'Ausnam begrenzt op den Clienttyp an de Zeréckruff, deen se beschreift. Se op eng Webapplikatioun, en gedeelten internen Déngscht oder eng Ëmleedungs-URI op engem aneren Host unzewennen, ännert d'Oplagung, net d'Ausnam.

Test de richtegen Floss op all Grenz a vergläich en mam Clienttyp. Eng funktionéierend Ëmleedung seet näischt doriwwer, ob all Deel, deen en Token gedroen huet, dee verlaangte Schutz benotzt huet, an en gréngen VPN-Ikon seet näischt iwwer d'Schema vun der nächster Ufro.