Sijil VPN tersuai bukan lapisan penyulitan tambahan

Memasang sijil tersuai pada titik akhir VPN terasa seperti menambah perlindungan, kerana sijil dan penyulitan sentiasa muncul bersama. Dalam amalan ia mengubah dua perkara: identiti yang ditunjukkan oleh titik akhir, dan pengeluar yang sanggup dipercayai oleh rakan sejawatnya. Kedua-duanya tidak membalut data anda untuk kali kedua. Jika keperluan sebenar ialah saluran terlindung kedua, anda perlukan saluran kedua dengan titik akhirnya sendiri, bukan sijil lain.

Tiga tugas berasingan dalam jabat tangan TLS 1.3

RFC 8446 memisahkan perkara ini, dan pemisahan itulah keseluruhan jawapannya. Mesej Certificate membawa rantaian sijil titik akhir. CertificateVerify membuktikan pemilikan kunci peribadi yang sepadan dan mengikat transkrip jabat tangan. Lapisan rekod melindungi trafik dengan kunci trafik yang dirundingkan.

Tukar sijil itu dan dua perkara pertama berubah. Perlindungan rekod tidak berjalan dua kali, dan ia tidak menjadi lebih kukuh kerana pengeluar kini peribadi.

Apa yang sebenarnya dibeli oleh CA peribadi

Ia membeli sistem identiti terkawal: anda menentukan siapa yang dikeluarkan, anda menentukan pengeluar mana yang diterima oleh rakan sejawat, dan anda boleh membatalkan mengikut jadual anda sendiri. Itu benar-benar berguna apabila anda mengendalikan kedua-dua hujung.

Tetapi ia juga membawa kewajipan. Kepercayaan mesti diedarkan secara sengaja, pengesahan rakan sejawat mesti kekal hidup, dan kitaran hayat kelayakan mesti dimiliki oleh seseorang. CA peribadi bukan jalan pintas untuk mengelak mana-mana daripada tiga perkara itu.

Bila saluran kedua ialah jawapan yang betul

Katakan satu aplikasi membuka HTTPS tersahkan ke perkhidmatannya sendiri sementara paketnya juga melalui VPN. Reka bentuk itu mempunyai dua sempadan dengan titik akhir yang mungkin berbeza, dan itulah rupa saluran terlindung kedua.

Perbezaan ini penting di gerbang. Jika sesi TLS aplikasi berakhir di gerbang VPN dan bukan di aplikasi, perlindungan yang anda sangka ada di sebalik terowong itu tidak ada di sana. Tuliskan siapa yang menamatkan setiap saluran sebelum menuntut sifat itu.

Tanyakan apa yang diubah oleh pemasangan

Permintaan untuk memasang sijil boleh bermaksud tiga perkara berbeza. Ia mungkin mengubah identiti klien itu sendiri, sauh kepercayaan khusus aplikasi, atau kepercayaan seluruh platform untuk segala-galanya pada peranti. Ini tidak setara, dan hanya yang terakhir menjejaskan perisian yang tidak berkaitan.

Tanyakan yang mana antara tiga itu dimaksudkan, kemudian tanyakan apa yang sepatutnya dicapai. Jika jawapannya lebih banyak penyulitan, cadangan itu dihalakan kepada mekanisme yang salah.

Tuliskan sempadan

Bagi setiap saluran, catat titik akhir, identiti yang disahkan oleh setiap pihak, dan apa yang boleh dilihat oleh pengendali di tengah. Kemudian catat tingkah laku kegagalan: apa yang berlaku apabila pengesahan gagal, dan apa yang berlaku apabila saluran ditolak.

Dua baris pada satu halaman biasanya menyelesaikan perdebatan yang tidak dapat diselesaikan oleh putaran sijil.

Putuskan dengan tiga soalan

Adakah masalahnya siapa yang didakwa oleh titik akhir, atau apa yang berlaku kepada data? Perlukah perlindungan berterusan melepasi gerbang VPN ke aplikasi tertentu? Dan bolehkah anda menamakan dua titik akhir yang akan menamatkan saluran kedua?

Jika soalan pertama yang sebenar, betulkan identiti dan kepercayaan. Jika yang kedua atau ketiga, reka saluran kedua dan biarkan sijil di tempatnya.