TLS VPN pret IPsec: pieci lauki, kurus ir vērts pārskatīt

TLS VPN sarindošana pret IPsec VPN pēc protokolu saimes atbild uz jautājumu, kuru neviens neuzdeva, un parasti citē konstrukciju, no kuras abas saimes atteicās pirms gadiem. Tas, ko recenzents patiešām var novērtēt, ir saskaņotā aizsardzība, partnera identitāte, klienta modelis un atklātais pakalpojums. Šīs četras lietas ir redzamas izvietošanā, un neviena no tām neizriet no produkta etiķetes. Lūdziet piecus laukus, un saruna kļūst konkrēta.

Pieci lauki, un etiķete nav viens no tiem

Pirmais lauks ir atbalstītais programmatūras laidiena, jo protokola apraksts bez versijas ir brošūra. Otrais ir saskaņotā protokola versija, kas nosaka, kuras konstrukcijas vispār ir pieejamas. Trešais ir aizsardzības komplekts, ceturtais ir autentifikācijas metode gan partnerim, gan lietotājam, un piektais ir piekļuves tvērums, ko produkts piešķir pēc uzņemšanas.

SSL VPN etiķete aptver vismaz trīs dažādus produktus: pilnu tīkla klientu, lietojumprogrammu starpnieku un vecu pārlūkā balstītu portālu. Tie atklāj dažādus pakalpojumus un neizdodas atšķirīgi, tāpēc etiķete nevar aizstāt tvēruma lauku.

Ko patiesībā maina autentificēta šifrēšana

TLS 1.3 prasa autentificētu šifrēšanu, kas izņem no protokola vecāko MAC-then-encrypt konstrukciju, nevis atstāj to neobligātu. IPsec ESP ir autentificētas šifrēšanas komplekti tikpat ilgi, un AES-GCM ir definēts atsevišķā RFC. Abās saimēs garantija nāk no saskaņotā komplekta, nevis no saimes nosaukuma, tāpēc lauku saraksts sākas ar versiju. Recenzentam, kurš nevar nosaukt komplektu, nav ko vērtēt.

Tāpēc vēsturiskais salīdzinājums maldina. Izvietošana, kas piesaistīta vecai TLS versijai ar CBC komplektu, un cita, kas darbojas ar TLS 1.3 un AEAD komplektu, nav viena un tā pati drošības pozīcija, lai gan abas ir TLS VPN. Tāda pati šķelšanās pastāv IPsec pusē starp modernu ESP komplektu un vecāku kombināciju.

Lasiet saskaņotās vērtības, nevis konfigurāciju, ko bijāt iecerējis. Tālāk esošās komandas parāda, par ko darbībā esošs galapunkts un darbībā esošs tunelis patiešām vienojās.

openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sas

Ja galapunkts nevēlas saskaņot TLS 1.3, tas ir atradums, nevis izvēle. Ja tunelis uzskaita komplektu, kuru negaidījāt, svarīgā konfigurācija ir tā, kuru izvēlējās partneri, nevis tā, kas ir veidnē.

Partnera identitāte ir atsevišķs jautājums

Šifrēšana bez pārbaudīta partnera aizsargā trafiku no novērotājiem un nodod to tam, kas atbildēja uz savienojumu. Partnera autentifikācija jautā, kāda identitāte tiek gaidīta, kāds uzticības materiāls to apstiprina un kā klients uzvedas, kad atbilde nesakrīt. Sertifikātu ķēde, piefiksēta atslēga un iepriekš koplietots noslēpums ir trīs dažādas atbildes ar trim dažādām ekspluatācijas izmaksām.

Pēc tam uzdodiet tos pašus jautājumus par lietotāju vai ierīci. Vārteja, kas autentificē mašīnu un uzņem jebkuru lietotāju, vai otrādi, ir noteiktā pozīcijā, kas jāpieraksta, nevis jāpieņem. Resursu atļaujas, kas piemērotas pēc uzņemšanas, ir daļa no tā paša lauka, jo autentifikācija nav autorizācija.

Resursdatora nosaukuma un sertifikāta pārbaužu saglabāšana ir svarīgāka par pieteikšanās loga pazīstamību. Klients, kas konfigurēts ignorēt pārbaudi, ir noņēmis vienīgo soli, kas atšķir jūsu vārteju no pārliecinošas imitācijas.

Robeža, ko produkts atklāj

Portāls bez klienta starpnieko izvēlētas lietojumprogrammu darbības caur vārteju, tāpēc lietotājs sasniedz saskarni, nevis tīklu. Pilna tuneļa klients pārvadā to, ko izvēlas tā maršruti un filtrēšanas politika, kas ir daudz lielāka virsma. Abu salīdzināšana pēc protokola stipruma palaiž garām atšķirību tajā, ko uzbrucējs caur tiem var sasniegt. Viens atklāj lietojumprogrammas saskarni, otrs maršrutētu tīklu, un abi prasa atšķirīgas pārbaudes.

Jautājiet, kurš pakalpojums ir atklāts, kuras darbības ir autorizētas un ko klausās pati vārteja. Pārvaldības saskarne, kas sasniedzama no tās pašas adreses kā lietotāja portāls, ir izvietošanas atradums, un neviena protokola izvēle to nekompensē.

Tvērums pa lietojumprogrammām vēl vairāk sašaurina virsmu, un tas arī maina bojājuma uzvedību, kad tunelis nokrīt. Projekts, kas pieņem pilna tuneļa sasniedzamību, salūzt tā, kā pa lietojumprogrammām veidots projekts nesalūzt, un atbalsta slodze seko.

Izlemiet bojājuma iznākumu un dzīves ciklu

Tas, kas notiek, kad autentifikācija vai aizsardzība nav pieejama, ir politikas lēmums, kas pieder pārskatam. Bloķēts iznākums un neizziņots tiešs atkāpums rada atšķirīgas sekas, un atšķirība funkciju sarakstā nav redzama. Norādiet paredzēto uzvedību blakus resursam, ko tā aizsargā.

Iekļaujiet vārtejas ielāpu un atbalsta dzīves ciklu, tās iespējotās ārējās funkcijas un klientu atjaunināšanas ceļu. Pareiza protokola izvēle nepadara drošu slikti izvietotu pakalpojumu, un lielākā daļa incidentu dzīvo tieši šajā plaisā, nevis komplektā.

Pierakstiet piecus laukus, bojājuma politiku un dzīves cikla īpašnieku vienā lappusē. Tā lappuse ir pārskats; protokolu saišu salīdzinājums ir viedoklis.