TLS-Pinning a VPN-Zougang beäntweren ënnerschiddlech Froen

Setz eng privat mobil App hannert eng VPN an eng vernünfteg Persoun wäert froen, ob si nach Zertifikatspinning brauch. D’Fro kléngt wéi eng Wiel tëschent zwee gläichwäerteg Kontrollen, an et ass wierklech eng Fro iwwer zwee verschidden Paarten. D’VPN entscheet, ob dëst Gerät de Wee iwwerhaapt benotze darf; d’App entscheet, ob de Server, deen et erreecht huet, deen ass, deen et erwaart huet. Äntwerent op béides getrennt an den Design gëtt méi einfach.

Zwee Paarten, zwou Froen

Netzwierkzougang geet ëm de Client: ass dëst Gerät registréiert, ass säi Beweis gülteg, an erlaabt d’Politik et op dësem Wee? D’Vertraue vun der App geet ëm de Server: huet d’Verbindung en Déngscht mat enger Identitéit erreecht, déi d’App akzeptéiert? Dës Äntwerten kommen aus verschiddenen Systemer, scheiteren aus verschiddene Grënn, a verschidden Equippen huelen se an d’Rei. Eng VPN-Hännschëddelen kann geléngen, während d’App mat engem ofgelafene Zertifikat hannert dem Peer schwätzt. Eng perfekt gepinnte App kann awer fir jiddereen onereechbar bleiwen, well d’Gerät ni an d’Netzwierk komm ass.

Déi zwee addéieren sech. Ee falen ze loosse hëlt eng Kontroll ewech; dat anert dobäizesetzen ersetzt et net.

Wat en Pin tatsächlech begrenzt

En Pin verengt de Set vu Serveridentitéiten, déi d’App akzeptéiert, meeschtens andeems en en ëffentleche Schlëssel oder en Zertifikatshash nennt, amplaz all Kette ze vertrauen, fir déi e Speicher bierge géif. Et ass eng Restriktioun, déi op déi gewéinlech Validatioun opgesat gëtt, keng Ersatz dofir. Déi gewéinlech Validatioun äntwert, ob eng Kette iwwerhaapt vertrauenswürdeg ass; de Pin äntwert, ob et d’Kette ass, déi dës App erwaart. Eng Implementatioun, déi den éischte Schrëtt iwwerspréngt, huet keng Sécherheet gewonnen, just Neiheet.

D’Objet, dee gepinnt gëtt, ënnerscheet sech tëschent Plattformen, dofir seet d’Wuert eleng ganz wéineg. En Hash aus dem Vertrauensspeicher vun engem Produkt ze kopéieren an en an enger mobiler App als dat selwecht ze behandelen ass e gemeinsame a stille Feeler.

Pinning op der Plattform ass eng Konfiguratioun, keng Politik

Android weist Pinning iwwer seng Netzwierksécherheetskonfiguratioun, wou e Pinset Digeste vun engem ëffentleche Schlëssel hält an d’Kette muss op d’mannst ee vun hinnen enthalen. Dee Fichier ass pro App a brauch eng bewosst Build-Ännerung. iOS huet kee gläichwäertege Manifestmechanismus, dofir lieft de Pinning do am eegene Vertrauensbewäertungscode vun der App.

Well de Mechanismus ënnerschiddlech ass, muss d’Ufuerderung pro Plattform geschriwwe ginn. Eng Politik, déi seet pinnt den Zertifikat ouni d’Plattform ze nennen, ass net ëmsetzbar.

D’Rotatioun entscheet, ob de Pin iwwerlieft

Den schwéieren Deel ass net déi éischt Veröffentlechung, et ass d’Zertifikatserneierung duerno. Eng restriktiv Vertrauenspolitik refuséiert en legitimen neie Schlëssel sou fest wéi dee vun engem Ugräifer.

Zwee Mechanismen maachen d’Rotatioun iwwerliebbar: e Reservepin, deem schonn vertraut gëtt, ier en néideg ass, an en Ofleefdatum um Pinset, soudatt d’Duerchsetzung ophält amplaz d’App ze blockéieren. Béides si Politikentscheedungen, an den Ofleef besonnesch ass eng bewosst Reduktioun vun der Sécherheet, keen harmlosen Timer. Nennt, wien de Build vun der App, den TLS-Endpunkt an d’Zertifikatserneierung kontrolléiert, a bréngt se an ee Ännerungsprozess. Wann dat dräi verschidden Equippen sinn, wäert de Pin irgendwann eng Stéierung verursaachen, déi kee geplangt huet.

En verluert Gerät ass en drëtte Problem

D’Zeréckzéien vun engem VPN-Beweis hält net onbedéngt eng Appsitzung op, an e Serverpin mécht iwwerhaapt näischt fir en Telefon an enger anerer Hand. Geräteschloss, Beweisofspäicherung, Sitzungsdauer an Ofzeréckzéien aus der Distanz sinn getrennte Entscheedungen mat getrennten Eegentümer. Se an d’Pinningdiskussioun anzefalen garantéiert, datt keng vun hinnen entworf gëtt.

Test véier Bezéiungen amplaz déi eng, déi Dir gesitt: de geplangte Server an d’Operatioun, e Kont, deem misst refuséiert ginn, eng Serveridentitéit, déi misst verworf ginn, an d’geplangt Rotatioun. Eng funktionéierend VPN übt just déi éischt. Schreift op, wat all Test bewisen huet, well déi nächst Persoun wäert unhuelen, datt e grénge Tunnel bedeit, datt all véier bestanen hunn.