Pielāgots VPN sertifikāts nav papildu šifrēšanas slānis

Pielāgota sertifikāta instalēšana VPN galapunktā šķiet kā aizsardzības pievienošana, jo sertifikāti un šifrēšana visur parādās kopā. Praksē tas maina divas lietas: kādu identitāti galapunkts uzrāda un kuram izdevējam tā partneris ir gatavs uzticēties. Neviens no tiem neietin jūsu datus otro reizi. Ja patiesā vajadzība ir otrs aizsargāts kanāls, jums vajag otru kanālu ar saviem galapunktiem, nevis vēl vienu sertifikātu.

Trīs atsevišķi darbi TLS 1.3 rokasspiedienā

RFC 8446 šķir šīs lietas, un tieši šis atdalījums ir visa atbilde. Certificate ziņojums nes galapunkta sertifikātu ķēdi. CertificateVerify pierāda atbilstošās privātās atslēgas piederību un piesaista rokasspiediena ierakstu. Ierakstu slānis aizsargā datplūsmu ar saskaņotajām datplūsmas atslēgām.

Nomainiet sertifikātu, un pirmās divas pozīcijas mainās. Ierakstu aizsardzība nenotiek divreiz un nekļūst stiprāka tāpēc, ka izdevējs tagad ir privāts.

Ko privāta CA patiešām nopērk

Tā nopērk kontrolētu identitātes sistēmu: jūs izlemjat, kam izsniedz, jūs izlemjat, kurus izdevējus pieņem partneri, un varat atsaukt pēc sava grafika. Tas patiešām ir noderīgi, ja pārvaldāt abus galus.

Tā arī ienes pienākumus. Uzticēšanās ir jāsadala apzināti, partnera pārbaudei jāpaliek ieslēgtai, un kādam ir jāpārvalda akreditācijas datu dzīves cikls. Privāta CA nav īscelš ap nevienu no šiem trim.

Kad otrs kanāls ir pareizā atbilde

Pieņemsim, lietojumprogramma atver pārbaudītu HTTPS uz savu pakalpojumu, kamēr tās paketes ceļo arī caur VPN. Šādam dizainam ir divas robežas ar iespējami atšķirīgiem galapunktiem, un tieši tā izskatās otrs aizsargātais kanāls.

Atšķirība ir svarīga pie vārtejas. Ja lietojumprogrammas TLS sesija beidzas VPN vārtejā, nevis lietojumprogrammā, tad aizsardzība, kas, jūsuprāt, jums bija aiz tuneļa, tur nav. Pierakstiet, kas beidz katru kanālu, pirms pieprasāt šo īpašību.

Jautājiet, ko maina instalēšana

Sertifikāta instalēšanas pieprasījums var nozīmēt trīs dažādas lietas. Tas var mainīt paša klienta identitāti, lietojumprogrammai raksturīgu uzticēšanās enkuru vai visas platformas uzticēšanos visam ierīcē. Tie nav līdzvērtīgi, un tikai pēdējais ietekmē nesaistītu programmatūru.

Jautājiet, kurš no trim ir domāts, un tad, ko tam jāsasniedz. Ja atbilde ir vairāk šifrēšanas, priekšlikums ir vērsts uz nepareizo mehānismu.

Pierakstiet robežas

Katram kanālam pierakstiet galapunktus, identitāti, ko pārbauda katra puse, un to, ko var redzēt operators vidū. Pēc tam pierakstiet atteices uzvedību: kas notiek, kad pārbaude neizdodas, un kas notiek, kad kanāls tiek noraidīts.

Divas rindas vienā lapā parasti izšķir strīdu, ko sertifikāta rotācija nevar izšķirt.

Izlemiet ar trim jautājumiem

Vai problēma ir tajā, kas galapunkts apgalvo, ka ir, vai tajā, kas notiek ar datiem? Vai aizsardzībai jāturpinās aiz VPN vārtejas līdz konkrētai lietojumprogrammai? Un vai varat nosaukt divus galapunktus, kas beigtu otru kanālu?

Ja pirmais jautājums ir īstais, izlabojiet identitāti un uzticēšanos. Ja otrais vai trešais, projektējiet otru kanālu un atstājiet sertifikātu tur, kur tam vieta.