VPN доторх OAuth: ямар хэсгүүд TLS-ийг шаардсаар байна

Хувийн чиглүүлэлт нь серверт хэн хүрэхийг шийддэг; OAuth-ын тээврийн дүрэм мессеж бүр хэрхэн аялддагийг шийддэг. Хөтөч, зөвшөөрлийн сервер, токены төгсгөлийн цэг болон нөөцийн сервер бүгд нэг VPN-ийн ард байж, мессежүүдийг өөр өөр хэсгээр солилцож чадна. Хэсэг бүр өөрийн тээврийн шаардлагатай бөгөөд VPN тэдгээрийн аль нэгийг ч сулруулахгүй. VPN-ийн хил ба протоколын хил хоёр өөр шугам юм.

Сүлжээ итгэмжлэгдсэн эсэхийг асуухаа болиод аль солилцоо аль хилийг давж байгааг асууж эхэлбэл шийдвэр илүү хялбар болно.

Сүлжээгээр биш, хэсгээр шийдээрэй

Төгсгөлийн цэгүүдийг тус тусад нь бичээрэй: зөвшөөрлийн төгсгөлийн цэг, токены төгсгөлийн цэг, дахин чиглүүлэх URI, нөөцийн серверийн URL, TLS-ийн төгсгөлийн цэг болон VPN гарц. Дараа нь хүсэлт бүрийг аль тал эхлүүлж, хариу хаашаа явдгийг тэмдэглээрэй.

Гарцаар төгсдөг VPN нь гарц хүртэлх хэсгийг шифрлэдэг. Хүсэлт түүний ард энгийн HTTP хэлбэрээр үргэлжилж болох бөгөөд өмнөх хэсэг шифрлэгдсэнээс болж үлдсэн тэр хэсэг HTTPS болоогүй юм. Яг тэр үргэлжлэл бол протоколд чухал хэсэг юм. Эхний үсрэлтийг шифрлэх нь хоёр дахь үсрэлтийг аюулгүй болгохгүй.

Тээвэр нь үйлчилгээний таних тэмдгийн шалгалтыг ч агуулдаг. Хөтөч програмын URL-ийн гэрчилгээг баталгаажуулдаг; VPN энэ шалгалтыг хөтчийн өмнөөс хийдэггүй бөгөөд баталгаажаагүй төгсгөлийн цэгийг хүлээн зөвшөөрөхүйц болгодоггүй. Гэрчилгээ нь хэрэглэгч дуудаж байна гэж бодож буй төгсгөлийн цэгийг нэрлэдэг. Гарц руу чиглэсэн туннель тэр цэгийг өөрөөр нэрлэдэггүй, баталгаажуулдаггүй.

Зөвшөөрлийн хариу ба дахин чиглүүлэх URI

OAuth-ын одоогийн шилдэг аюулгүй байдлын практик нь зөвшөөрлийн хариуг шифрлэгдээгүй холболтоор дамжуулахыг хориглодог. Энэ нь зөвхөн анхны хүсэлт төдийгүй зөвшөөрлийн код эсвэл токеныг хэрэглэгч рүү буцааж авчрах дахин чиглүүлэлтийг хамарна.

Мөн заавар нь заасан native хэрэглэгчийн loopback тохиолдлоос бусад тохиолдолд HTTP дахин чиглүүлэх URI-г зөвшөөрдөггүй. Дотоод хостын нэр шинэ үл хамаарах зүйл үүсгэхгүй бөгөөд зөвхөн VPN дотор шийдэгддэг DNS нэр, схем тийнхүү хэлж байвал HTTP URL хэвээр байна. Бүртгэгдсэн URI дахь схемийг шалгаарай, зөвхөн хостын нэрийг биш.

Яг HTTPS дахин чиглүүлэх URI-г зөвшөөрлийн серверт бүртгэж, хэрэглэгч дээр гэрчилгээний баталгаажуулалтыг асаалттай байлгаарай. HTTPS шаардлагыг дарж байгаа хөгжүүлэлтийн товчлол нь өөрөө загварчлах ёстой үйлдвэрлэлийн тохиргооноос өөрөөр ажилладаг урсгал үүсгэдэг.

Токены төгсгөлийн цэг ба bearer токентой хүсэлтүүд

Токены хүсэлт нь нэвтрэх эрхээр солилцож болох итгэмжлэл эсвэл код агуулдаг. Үүнийг хамгаалалтгүй хэсгээр илгээх нь эргэн тойрны сүлжээ хувийн байсан ч нөөцийн сервер дараа нь итгэх материалыг ил гаргадаг. Хүсэлтийг уншиж чадах прокси түүний агуулж буй итгэмжлэлийг ч уншиж чадна.

Bearer токентой нөөцийн хүсэлтийн хувьд RFC 6750 нь тухайн тодорхойлолтод TLS-ийг хэрэгжүүлэх, ашиглахыг заавал гэж үздэг. Оффисын дэд сүлжээг итгэмжлэгдсэн гэж нэрлэх нь энгийн текстэн bearer байршуулалтад хэрэгтэй ерөнхий протоколын үл хамаарах зүйл биш.

Хоёр хэсгийн хувьд баримтжуулсан аюулгүй төгсгөлийн цэгийн URL-уудыг ашиглаарай. Хэрэв номын сан HTTP токены төгсгөлийн цэгийг дуудахаас татгалзвал тэр татгалзал нь тодорхойлолт ажиллаж байгаа хэрэг, тойрч гарах тохиргооны алдаа биш. Тэр URL-ыг ажиллах үед гаргахын оронд хэрэглэгчийн тохиргоонд бичээрэй.

TLS хаана төгсдөг, тэр юу үлдээдэг

Хэрэв TLS эрх бүхий урд хэсэгт төгсвөл тэр урд хэсгийг нэрлэж, түүнээс програм хүртэлх замыг хянаарай. Урд хэсэг нь үлдсэн сегмент дэх дамжуулалт, итгэл, нууцлалын хариуцлагыг хүлээх бөгөөд үйлчилгээний дэмжигдсэн архитектур тэр зохион байгуулалтыг дүрслэх ёстой.

Замд өөр газар байгаа VPN тэр хариуцлагыг шийдэхгүй. Мөн хөтчийн харж буй програмын URL нь урд хэсгийн үзүүлж буй гэрчилгээтэй тохирч байгаа эсэхийг хэлж өгөхгүй.

Дотоод байршуулалтын хувьд төгсгөлийн цэг болон түүний үзүүлж буй таних тэмдгийг бичээрэй. TLS-ийг өөр нэрний гэрчилгээгээр төгсгөдөг урд хэсэг нь операторууд засахын оронд ихэвчлэн дарж байдаг хөтчийн сануулгыг үүсгэдэг.

Native loopback-ийн үл хамаарах зүйл нарийн

Loopback дахин чиглүүлэлтийн үл хамаарах зүйл нь хэрэглэгчийн өөрийн төхөөрөмж дээрх буцаан дуудлагад хамаарах бөгөөд тэнд хэрэглэгч болон хөтөч тэр төхөөрөмжийг хуваалцдаг. Тэр зохион байгуулалт нь нэг төхөөрөмж дээрх буцаан дуудлагад хамаарах бөгөөд оффисын дэд сүлжээнд HTTP-ээр энгийн зөвшөөрлийн сервер эсвэл токен агуулсан API үзүүлэх эрх өгөхгүй.

Үл хамаарах зүйлийг түүний тодорхойлж буй хэрэглэгчийн төрөл болон буцаан дуудлагаар хязгаарлаж байгаарай. Үүнийг вэб програм, хуваалцсан дотоод үйлчилгээ эсвэл өөр хост дээрх дахин чиглүүлэх URI-д хэрэглэх нь байршуулалтыг өөрчилдөг, үл хамаарах зүйлийг биш.

Хил бүр дээр бодит урсгалыг туршаад хэрэглэгчийн төрөлтэй харьцуулаарай. Ажиллаж байгаа дахин чиглүүлэлт нь токен агуулсан хэсэг бүр шаардлагатай хамгаалалтыг ашигласан эсэхийг юу ч хэлэхгүй, ногоон VPN тэмдэг дараагийн хүсэлтийн схемийн талаар юу ч хэлэхгүй.