Сопствен VPN сертификат не е дополнителен слој на шифрирање

Инсталирањето сопствен сертификат на VPN крајна точка изгледа како додавање заштита, зашто сертификатите и шифрирањето насекаде се појавуваат заедно. Во практиката тоа менува две работи: кој идентитет го претставува крајната точка и на кој издавач неговиот партнер е подготовен да му верува. Ниту едно од тоа не ги завиткува вашите податоци по втор пат. Ако вистинската потреба е втор заштитен канал, ви треба втор канал со свои крајни точки, а не уште еден сертификат.

Три одделни задачи во ракувањето TLS 1.3

RFC 8446 ги разделува овие работи и самото разделување е целиот одговор. Пораката Certificate го носи синяирот сертификати на крајната точка. CertificateVerify го докажува поседувањето на соодветниот приватен клуч и го врзува транскриптот на ракувањето. Слојот записи го штити сообраќајот со договорените клучеви за сообраќај.

Заменете го сертификатот и првите две ставки се менуваат. Заштитата на записите не се извршува двапати и не станува посилна затоа што издавачот сега е приватен.

Што всушност дава приватен CA

Дава контролиран систем на идентитет: вие одлучувате кому се издава, вие одлучувате кои издавачи ги прифаќаат партнерите и можете да отповикате по сопствен распоред. Тоа е навистина корисно кога управувате со двата краја.

Но внесува и обврски. Довербата мора свесно да се распоредува, проверката на партнерот мора да остане вклучена и некој мора да го сопствува животниот циклус на акредитивите. Приватниот CA не е кратенка околу ниту една од тие три.

Кога вториот канал е вистинскиот одговор

Да претпоставиме дека апликацијата отвара проверен HTTPS кон сопствената услуга, додека нејзините пакети патуваат и низ VPN. Таков дизајн има две граници со потенцијално различни крајни точки, и токму така изгледа вториот заштитен канал.

Разликата е важна кај портата. Ако TLS сесијата на апликацијата заврши кај VPN портата наместо кај апликацијата, заштитата за која мислевте дека ја имате зад тунелот не е таму. Запишете кој завршува секој канал пред да го тврдите својството.

Прашајте што менува инсталацијата

Барањето за инсталирање сертификат може да значи три различни работи. Може да го смени сопствениот идентитет на клиентот, сидро на доверба специфично за апликација или доверба на ниво на платформа за сё што е на уредот. Тие не се еднакви и само последното влијае на неповрзан софтвер.

Прашајте кое од трите е наменето, потоа прашајте што треба да постигне. Ако одговорот е повеќе шифрирање, предлогот е насочен кон погрешен механизам.

Запишете ги границите

За секој канал запишете ги крајните точки, идентитетот што го проверува секоја страна и што може да види операторот во средината. Потоа запишете го однесувањето при дефект: што се случува кога проверката не успее и што кога каналот е одбиен.

Два реда на една страница обично решаваат расправа што ротацијата на сертификат не може да ја реши.

Решете со три прашања

Дали проблемот е кој се претставува како крајна точка или што се случува со податоците? Треба ли заштитата да продолжи зад VPN портата до конкретна апликација? И можете ли да ги наведете двете крајни точки што би завршиле втор канал?

Ако првото прашање е вистинското, поправете ги идентитетот и довербата. Ако е второто или третото, дизајнирајте го вториот канал и оставете го сертификатот каде што му е местото.