Pasirinktinis VPN sertifikatas nėra papildomas šifravimo sluoksnis
Sertifikatas keičia tapatybę ir pasitikėjimą, o ne šifravimo sluoksnių skaičių. Nuspręskite klausdami, kas ir kur baigiasi.
Pasirinktinio sertifikato įdiegimas VPN galiniame taške atrodo kaip apsaugos pridėjimas, nes sertifikatai ir šifravimas visur pasirodo kartu. Praktiškai tai keičia du dalykus: kokią tapatybę pateikia galinis taškas ir kuriuo išdavėju jo partneris pasiruošęs pasitikėti. Nė vienas iš jų neapvynioja jūsų duomenų antrą kartą. Jei tikrasis poreikis yra antras apsaugotas kanalas, jums reikia antro kanalo su savo galiniais taškais, o ne dar vieno sertifikato.
Trys atskiri darbai TLS 1.3 rankos paspaudime
RFC 8446 atskiria šiuos dalykus, ir būtent tas atskyrimas yra visas atsakymas. Certificate pranešimas neša galinio taško sertifikatų grandinę. CertificateVerify įrodo atitinkamo privataus rakto turėjimą ir susieja rankos paspaudimo įrašą. Įrašų sluoksnis apsaugo srautą su suderintais srauto raktais.
Pakeiskite sertifikatą ir pirmi du punktai pasikeis. Įrašų apsauga neveikia du kartus ir netampa stipresnė dėl to, kad išdavėjas dabar yra privatus.
Ką iš tikrųjų nusiperka privati CA
Ji nusiperka kontroliuojamą tapatybės sistemą: jūs sprendžiate, kam išduodama, jūs sprendžiate, kuriuos išdavėjus priima partneriai, ir galite atšaukti pagal savo grafiką. Tai tikrai naudinga, kai valdote abu galus.
Ji taip pat įneša įsipareigojimų. Pasitikėjimas turi būti platinamas sąmoningai, partnerio tikrinimas turi likti įjungtas, o kvalifikacijų gyvavimo ciklą turi turėti savininką. Privati CA nėra trumpas kelias apeiti nė vieną iš šių trijų.
Kada antras kanalas yra teisingas atsakymas
Tarkime, programa atidaro patikrintą HTTPS į savo paslaugą, o jos paketai taip pat keliauja per VPN. Toks dizainas turi dvi ribas su galimai skirtingais galiniais taškais, ir būtent taip atrodo antras apsaugotas kanalas.
Skirtumas svarbus ties vartais. Jei programos TLS sesija baigiasi VPN vartuose, o ne programoje, tos apsaugos, kurią manėte turį už tunelio, ten nėra. Užrašykite, kas baigia kiekvieną kanalą, prieš teigdami šią savybę.
Paklauskite, ką keičia diegimas
Sertifikato diegimo prašymas gali reikšti tris skirtingus dalykus. Jis gali pakeisti paties kliento tapatybę, programai būdingą pasitikėjimo inkarą arba visos platformos pasitikėjimą viskuo įrenginyje. Tai nėra lygiavertė, ir tik pastarasis veikia nesusijusią programinę įrangą.
Paklauskite, kuris iš trijų yra numatytas, tada paklauskite, ką jis turėtų pasiekti. Jei atsakymas yra daugiau šifravimo, pasiūlymas nukreiptas į netinkamą mechanizmą.
Užrašykite ribas
Kiekvienam kanalui užrašykite galinius taškus, tapatybę, kurią tikrina kiekviena pusė, ir ką mato operatorius viduryje. Tada užrašykite gedimo elgseną: kas nutinka, kai patikra nepavyksta, ir kas nutinka, kai kanalas atmetamas.
Dvi eilutės viename puslapyje paprastai išsprendžia ginčą, kurio sertifikato rotacija išspręsti negali.
Nuspręskite trimis klausimais
Ar problema yra tai, kuo galinis taškas teigia esąs, ar tai, kas nutinka duomenims? Ar apsauga turi tęstis už VPN vartų iki konkrečios programos? Ir ar galite įvardyti du galinius taškus, kurie baigtų antrą kanalą?
Jei pirmasis klausimas yra tikrasis, pataisykite tapatybę ir pasitikėjimą. Jei antrasis ar trečiasis, suprojektuokite antrą kanalą ir palikite sertifikatą ten, kur jam vieta.