VPN TLS berbanding IPsec: lima medan yang wajar diteliti

Menyusun VPN TLS berbanding VPN IPsec mengikut keluarga protokol menjawab soalan yang tiada siapa tanyakan, dan biasanya memetik pembinaan yang telah ditinggalkan kedua-dua keluarga bertahun-tahun lalu. Apa yang benar-benar boleh dinilai oleh peneliti ialah perlindungan yang dirundingkan, identiti rakan sebaya, model klien dan perkhidmatan yang terdedah. Empat perkara itu kelihatan dalam penggunaan, dan tiada satu pun mengikut label produk. Minta lima medan dan perbualan menjadi konkrit.

Lima medan, dan label bukan salah satunya

Medan pertama ialah keluaran perisian yang disokong, kerana huraian protokol tanpa versi hanyalah risalah. Kedua ialah versi protokol yang dirundingkan, yang menentukan pembinaan mana yang tersedia. Ketiga ialah suit perlindungan, keempat kaedah pengesahan untuk rakan sebaya dan pengguna, dan kelima skop akses yang diberikan produk selepas penerimaan.

Label VPN SSL meliputi sekurang-kurangnya tiga produk berbeza: klien rangkaian penuh, proksi aplikasi dan portal legasi berasaskan pelayar. Ketiganya mendedahkan perkhidmatan berbeza dan gagal secara berbeza, jadi label tidak boleh menggantikan medan skop.

Apa yang sebenarnya diubah oleh penyulitan disahkan

TLS 1.3 memerlukan penyulitan disahkan, yang mengeluarkan pembinaan MAC-then-encrypt lama daripada protokol dan bukannya membiarkannya pilihan. IPsec ESP telah mempunyai suit penyulitan disahkan selama itu juga, dengan AES-GCM ditakrifkan dalam RFC tersendiri. Dalam kedua-dua keluarga jaminan datang daripada suit yang dirundingkan, bukan nama keluarga, sebab itu senarai medan bermula dengan versi. Peneliti yang tidak dapat menamakan suit tiada apa-apa untuk dinilai.

Sebab itu perbandingan sejarah mengelirukan. Penggunaan yang dipaku pada versi TLS lama dengan suit CBC dan satu lagi yang menjalankan TLS 1.3 dengan suit AEAD bukan postur keselamatan yang sama, walaupun kedua-duanya VPN TLS. Perpecahan yang sama wujud di pihak IPsec antara suit ESP moden dan gabungan legasi.

Baca nilai yang dirundingkan, bukan konfigurasi yang anda maksudkan. Arahan di bawah menunjukkan apa yang sebenarnya dipersetujui oleh titik akhir yang hidup dan terowong yang hidup.

openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sas

Jika titik akhir enggan merundingkan TLS 1.3, itu penemuan, bukan keutamaan. Jika terowong menyenaraikan suit yang anda tidak jangkakan, konfigurasi yang penting ialah yang dipilih rakan sebaya, bukan yang ada dalam templat.

Identiti rakan sebaya ialah soalan berasingan

Penyulitan tanpa rakan sebaya yang disahkan melindungi trafik daripada pemerhati dan menyerahkannya kepada sesiapa yang menjawab sambungan. Pengesahan rakan sebaya menanyakan identiti apa yang dijangka, bahan kepercayaan apa yang mengesahkannya, dan bagaimana klien bertindak apabila jawapannya tidak sepadan. Rantaian sijil, kunci yang dipaku dan rahsia yang dikongsi terlebih dahulu ialah tiga jawapan berbeza dengan tiga kos operasi berbeza.

Kemudian tanyakan soalan yang sama tentang pengguna atau peranti. Get laluan yang mengesahkan mesin dan menerima mana-mana pengguna, atau sebaliknya, mempunyai pendirian tertentu yang patut ditulis, bukan diandaikan. Kebenaran sumber yang digunakan selepas penerimaan ialah sebahagian daripada medan yang sama, kerana pengesahan bukan kebenaran.

Memelihara semakan nama hos dan sijil lebih penting daripada kebiasaan tetingkap log masuk. Klien yang dikonfigurasikan untuk mengabaikan pengesahan telah membuang satu-satunya langkah yang membezakan get laluan anda daripada tiruan yang meyakinkan.

Sempadan yang didedahkan produk

Portal tanpa klien memproksi operasi aplikasi terpilih melalui get laluan, jadi pengguna sampai ke antara muka dan bukan rangkaian. Klien terowong penuh membawa apa yang dipilih oleh laluan dan dasar penapisannya, iaitu permukaan yang jauh lebih besar. Membandingkan keduanya mengikut kekuatan protokol terlepas perbezaan dalam apa yang boleh dicapai penyerang melaluinya. Satu mendedahkan antara muka aplikasi, satu lagi rangkaian dihalakan, dan kedua-duanya memerlukan penelitian berbeza.

Tanyakan perkhidmatan mana yang terdedah, operasi mana yang dibenarkan dan apa yang didengar oleh get laluan itu sendiri. Antara muka pengurusan yang boleh dicapai dari alamat yang sama dengan portal pengguna ialah penemuan penggunaan, dan tiada pilihan protokol yang mengimbanginya.

Skop setiap aplikasi menyempitkan permukaan lagi, dan ia juga mengubah tingkah laku kegagalan apabila terowong gugur. Reka bentuk yang menganggap jangkauan terowong penuh akan rosak dengan cara yang tidak dikenali reka bentuk setiap aplikasi, dan beban sokongan menyusul.

Putuskan hasil kegagalan dan kitaran hayat

Apa yang berlaku apabila pengesahan atau perlindungan tidak tersedia ialah keputusan dasar yang tergolong dalam penelitian. Hasil yang disekat dan pengunduran langsung yang tidak diumumkan mempunyai akibat berbeza, dan perbezaannya tidak kelihatan dalam senarai ciri. Nyatakan tingkah laku yang dimaksudkan di sebelah sumber yang dilindunginya.

Sertakan kitaran hayat tampalan dan sokongan get laluan, ciri luaran yang diaktifkan dan laluan kemas kini klien. Pilihan protokol yang betul tidak menjadikan perkhidmatan yang teruk digunakan sebagai selamat, dan kebanyakan insiden hidup dalam jurang itu, bukan dalam suit.

Tulis lima medan, dasar kegagalan dan pemilik kitaran hayat dalam satu halaman. Halaman itu ialah penelitian; perbandingan keluarga protokol ialah pendapat.