कस्टम VPN प्रमाणपत्र हा अतिरिक्त एन्क्रिप्शन स्तर नाही

VPN एंडपॉइंटवर कस्टम प्रमाणपत्र बसवणे हे संरक्षण जोडल्यासारखे वाटते, कारण प्रमाणपत्रे आणि एन्क्रिप्शन सर्वत्र एकत्र दिसतात. प्रत्यक्षात ते दोन गोष्टी बदलते: एंडपॉइंट कोणती ओळख सादर करतो, आणि त्याचा जोडीदार कोणत्या जारीकर्त्यावर विश्वास ठेवायला तयार आहे. यापैकी कोणीही तुमचा डेटा दुसऱ्यांदा गुंडाळत नाही. जर खरी गरज दुसरे संरक्षित चॅनल असेल, तर तुम्हाला स्वतःच्या एंडपॉइंटसह दुसरे चॅनल हवे, दुसरे प्रमाणपत्र नाही.

TLS 1.3 हँडशेकमधील तीन वेगळी कामे

RFC 8446 या गोष्टी वेगळ्या ठेवते, आणि तोच विभाग संपूर्ण उत्तर आहे. Certificate संदेश एंडपॉइंटची प्रमाणपत्र शृंखला वाहतो. CertificateVerify संबंधित खाजगी कीची मालकी सिद्ध करतो आणि हँडशेक ट्रान्सक्रिप्ट बांधतो. रेकॉर्ड स्तर वाटाघाटी झालेल्या ट्राफिक कीने रहदारीचे संरक्षण करते.

प्रमाणपत्र बदला आणि पहिल्या दोन गोष्टी बदलतात. रेकॉर्ड संरक्षण दोन वेळा चालत नाही, आणि जारीकर्ता आता खाजगी झाल्यामुळे ते अधिक मजबूत होत नाही.

खाजगी CA प्रत्यक्षात काय देते

ते नियंत्रित ओळख प्रणाली देते: कोणाला जारी करायचे हे तुम्ही ठरवता, जोडीदार कोणते जारीकर्ते स्वीकारतील हे तुम्ही ठरवता, आणि तुमच्या स्वतःच्या वेळापत्रकानुसार रद्द करू शकता. दोन्ही टोके तुम्हीच चालवत असल्यास हे खरोखर उपयुक्त आहे.

पण ते जबाबदार्याही आणते. विश्वास जाणीवपूर्वक वाटला पाहिजे, जोडीदाराची पडताळणी सुरू ठेवली पाहिजे, आणि क्रेडेन्शियल्सच्या जीवनचक्राचा मालक कोणीतरी असला पाहिजे. खाजगी CA या तिन्हीपैकी कोणत्याही गोष्टीला टाळणारा शॉर्टकट नाही.

दुसरे चॅनल कधी योग्य उत्तर आहे

समजा एक अनुप्रयोग स्वतःच्या सेवेकडे पडताळलेले HTTPS उघडतो, तर त्याचे पॅकेट VPN मधूनही जातात. त्या रचनेला दोन सीमा आहेत ज्यांचे एंडपॉइंट वेगळे असू शकतात, आणि दुसरे संरक्षित चॅनल असेच दिसते.

हा फरक गेटवेवर महत्त्वाचा आहे. जर अनुप्रयोगाचे TLS सत्र अनुप्रयोगावर नाही तर VPN गेटवेवर संपते, तर बोगद्याच्या पलीकडे संरक्षण आहे असे तुम्हाला वाटले होते ते तिथे नाही. हा गुणधर्म दावा करण्यापूर्वी कोणते चॅनल कोण संपवते ते लिहा.

इंस्टॉल काय बदलते ते विचारा

प्रमाणपत्र इंस्टॉल करण्याची विनंती तीन वेगळ्या गोष्टी अर्थ दाखवू शकते. ती क्लायंटची स्वतःची ओळख, अनुप्रयोग-विशिष्ट विश्वास अंकर, किंवा उपकरणावरील प्रत्येक गोष्टीसाठी प्लॅटफॉर्म-व्यापी विश्वास बदलू शकते. हे समान नाहीत, आणि फक्त शेवटचाच असंबंधित सॉफ्टवेअरवर परिणाम करतो.

तिन्हीपैकी कोणते अभिप्रेत आहे ते विचारा, मग ते काय साध्य करायचे आहे ते विचारा. उत्तर अधिक एन्क्रिप्शन असेल, तर प्रस्ताव चुकीच्या यंत्रणेकडे आहे.

सीमा लिहा

प्रत्येक चॅनलसाठी एंडपॉइंट, प्रत्येक बाजू पडताळणारी ओळख आणि मधल्या ऑपरेटरला काय दिसू शकते ते नोंदवा. मग अपयशाचे वर्तन नोंदवा: पडताळणी अयशस्वी झाल्यावर काय होते, आणि चॅनल नाकारल्यावर काय होते.

एका पानावरच्या दोन ओळी सामान्यतः प्रमाणपत्र फिरवणी सोडवू शकत नाही असा वाद सोडवतात.

तीन प्रश्नांनी ठरवा

समस्या एंडपॉइंट स्वताला कोण म्हणतो ही आहे, की डेटाशी काय होते ही? संरक्षण VPN गेटवेच्या पलीकडे विशिष्ट अनुप्रयोगापर्यंत सुरू ठेवायला हवे का? आणि दुसरे चॅनल संपवणारे दोन एंडपॉइंट तुम्ही नावाने सांगू शकता का?

पहिला प्रश्न खरा असेल, तर ओळख आणि विश्वास दुरुस्त करा. दुसरा किंवा तिसरा असेल, तर दुसरे चॅनल रचा आणि प्रमाणपत्र त्याच्या जागी ठेवा.