TLS түлхүүр хуваалцах ба клиентийн гэрчилгээ: аль нь нэвтэрдэг вэ?
Түлхүүрийн тохиролцоог клиентийн баталгаажуулалт болон програмын идентичностос салгаж, холболт аль нь ашигласныг харуулах гар барилтын мессежүүдийг уншина уу.
Гар барилтын үед нийтийн түлхүүр солилцох утгыг зөөх нь клиент нэвтрэхтэй ижил үйл явдал биш. Нэг нь холболтын криптограф төлөвийг бий болгодог; нөгөө нь клиент хэн болохыг илэрхийлдэг бөгөөд сервер үүнийг шаардаж, солилцоо дэмжсэн тохиолдолд л тохиолддог. Эхнийхийг хоёр дахь гэж үзэх нь VPN юуг нууж, юуг нуухгүй байгаа талаар буруу дүгнэлт хийхэд хүргэдэг. Мессежүүдийг уншаад, дөрвөн шинж чанарын алийг нь та бодитоор ажигласнаа шийдээрэй.
Бичлэгт ижил харагдах хоёр обьект
TLS 1.3 клиент ямар ч гэрчилгээ үзүүлэхгүйгээр эхний нислэгтээ түлхүүр солилцооны материал өгч чадна. Энэ хувь нэмэр нь зохион бүтээлтээр нийтэд нээлттэй, учир нь серверт нийтлэг нууцыг гаргахад хэрэгтэй. Клиентийн гэрчилгээ бол өөр мессеж бөгөөд сервер нэгийг шаардсаны дараа л илгээгддэг. Энэ нь серверийн дараа нь шалгах идентикийг агуулдаг бөгөөд харилцан баталгаажуулалт нь шифрийн багц шаарддаг шинж биш, серверийн гаргах шийдвэр юм. Програмын идентик нь огт гурав дахь зүйл: нэвтрэх форм, зөөвөрлөгч токен, күүки. Тэдгээрийн аль нь ч гар барилтад харагдахгүй бөгөөд бүгд сүлжээний замын өөрчлөлтийг давж гардаг.
| Object in play | What it establishes |
|---|---|
| Key-exchange share | Cryptographic state for this connection |
| Server certificate | Which server the client reached |
| Client certificate | Client authentication, when requested |
| Application session | Account identity inside the application |
Дөрвөн мөр бие даасан. Холболт эхний болон хоёр дахь мөртэй байж, гурав дахь мөрийг алгасаж, дөрөв дэх мөрийг күүки толгойд зөөсөн хэвээр байж болно.
Бичигдсэн гар барилт юуг нотолж чадахыг шийдээрэй
Зөвхөн гар барилтаас ажиглагч тохиролцсон хувилбар, шифрийн багц, серверийн гэрчилгээ, нийтийн түлхүүр солилцооны утгуудыг мэддэг. Энэ нь клиентийн хэрэгжүүлэлтийн хурууны хээ авахад болон аль сервертэй холбогдсоныг харахад хангалттай. Өгөхгүй зүйл нь холболтыг тайлахад шаардлагатай хувийн төлөв; түүний нууцлал нь нийтийн хувьцаанд бус, түр зуурын солилцоонд тулгуурладаг. Энэ нь мөн бүртгэлийн идентик өгөхгүй, тэр нь эхнээсээ гар барилтад байгаагүй.
Тиймээс шударга дүгнэлт нарийн: энэ солилцоонд ямар ч клиентийн гэрчилгээ үзүүлээгүй. Клиент холбож болох юу ч илгээгээгүй гэсэн үг биш, сесс ямар ч танигч агуулаагүй гэсэн үг бүр ч биш.
Шифрийн нэрийг бус мессежүүдийг уншаарай
Шифрийн багцаас таамаглахын оронд серверээс юу шаардаж байгааг асуу. Гэрчилгээний хүсэлт агуулсан TLS 1.3 гар барилт хуулбарт харагдана, байхгүй нь ч мөн адил харагдана.
openssl s_client -connect app.example.net:443 -tls1_3 -msg < /dev/null 2>&1 | grep -i -E 'key_share|CertificateRequest'Дараа нь клиентийн гэрчилгээ тохируулж давтаж, харьцуул. Хоёр дахь ажиллагаа гэрчилгээ илгээгдэж, хүлээн авагдаж байгааг харуулах ёстой; эхнийх нь юу ч харуулах ёсгүй бөгөөд маргааны тодорхой ялгаа нь энэ юм.
openssl s_client -connect app.example.net:443 -tls1_3 -cert client.pem -key client.key -quietХэрэв танд зөвхөн энгийн хөтөлбөрийн тохиолдол хэрэгтэй бол клиентийн дэлгэрэнгүй гаралт нь протоколын хувилбар, шалгалтын үр дүн, клиентийн гэрчилгээ санал болгосон эсэхийг харахад хангалттай. Гэрчилгээний хүсэлт хэзээ ч илгээдэггүй сервер нэгийг хүлээн авч чадахгүй.
Хаана үргэлжлэл хариултыг өөрчилдөг
TLS 1.3-ын үргэлжлэл нууц төлөвтэй холбогдсон тасалбарыг ашигладаг тул дараагийн холболт бүрэн гэрчилгээ солилцоогүйгээр дуусч болно. Энэ нь ажиглагчийн харж буй зүйлийг багасгаж, хуулбарын нотолж буй зүйлийг өөрчилдөг. Энэ нь байхгүй газарт идентик үүсгэхгүй. Үргэлжлүүлсэн сесс нь мөн ижил програмын сессэд хамаарах бөгөөд тухайн сессийн аливаа күүки эсвэл токен чухал танигч хэвээр үлддэг.
Тиймээс "клиентийн гэрчилгээ байхгүй" гэж зогсдог нууцлалын хяналт сонирхолтой хэсгийг алддаг. Асуух ёстой асуулт нь аль тал тогтвортой танигчтай вэ гэдэг бөгөөд нэг гар барилтаас аль мессеж дутуу байсан бэ гэдэг биш.
Нэг шийтгэл бус дөрвөн шинж чанар бичээрэй
Түлхүүрийн тохиролцоо, серверийн шалгалт, клиентийн баталгаажуулалт, програмын идентикийг тус бүрийн нотолгоотойгоор дөрвөн тусдаа мөр болгон бичээрэй. Энэ жагсаалт протоколын хувилбар өөрчлөгдөхөд ч хадгалагдаж, нууцлалын талаарх үндэслэлийг өөр хүн шалгах боломжтой болгоно. Дараа нь сүлжээний зам юу өгдөг болохыг нэм. VPN нь үйлчилгээний харж буй эх сурвалжийн хаягийг өөрчилдөг; энэ нь програмд аль хэдийн байгаа нэвтрэх, күүки эсвэл төхөөрөмжийн хурууны хээг арилгадаггүй.
Холболтын тохиролцсон хувилбар болон гэрчилгээний хүсэлтийн үр дүнг хамт бичээрэй, учир нь хянагчид өөрийн бичлэггүйгээр таны дүгнэлтийг дахин гаргахад яг энэ хос хэрэгтэй.