Ċertifikat VPN personalizzat mhuwiex saff ta’ encryption żejjed
Ċertifikat ibiddel l-identità u l-fiduċja, mhux in-numru ta’ saffi ta’ encryption. Iddeċiedi billi tistaqsi x’jintemm u fejn.
L-installazzjoni ta’ ċertifikat personalizzat fuq endpoint VPN tħossok bħal żieda ta’ protezzjoni, għax iċ-ċertifikati u l-encryption jidhru flimkien kullimkien. Fil-prattika tinbidel żewġ affarijiet: liema identità tippreżenta l-endpoint, u liema emittent il-pari tiegħu huwa lest jafda. Xejn minn dawn ma jgeżwer id-dejta tiegħek it-tieni darba. Jekk il-ħtieġa vera hija t-tieni kanal protett, għandek bżonn tieni kanal bl-endpoints tiegħu stess, mhux ċertifikat ieħor.
Tliet xogħlijiet separati f’handshake TLS 1.3
RFC 8446 iżomm dawn separat, u s-separazzjoni stess hija t-tweġiba kollha. Il-messaġġ Certificate iġorr il-katina ta’ ċertifikati tal-endpoint. CertificateVerify jipprova l-pussess tal-private key li taqbel u jorbot it-traskrizzjoni tal-handshake. Is-saff tar-rekords jipproteġi t-traffiku bil-keys tat-traffiku nnegozjati.
Ibdel iċ-ċertifikat u l-ewwel żewġ punti jinbidlu. Il-protezzjoni tar-rekords ma tżeżegwixxix darbtejn, u ma ssirx aktar b’saħħitha għax l-emittent issa huwa privat.
X’jixtri tassew CA privata
Tixtri sistema ta’ identità kkontrollata: inti tiddeċiedi min jirċievi l-ħruġ, inti tiddeċiedi liema emittenti l-pari jaċċettaw, u tista’ tirtira skont l-iskeda tiegħek stess. Dan huwa tassew utli meta tmexxi ż-żewġ trufijiet.
Iżda ddaħħal ukoll obbligi. Il-fiduċja trid titqassam b’mod intenzjonat, il-verifika tal-pari trid tibqa’ mixgħula, u xi ħadd irid ikollu l-proprjetà taċ-ċiklu tal-ħajja tal-kredenzjali. CA privata mhijiex short-cut madwar xi waħda minn dawn it-tlieta.
Meta t-tieni kanal huwa t-tweġiba t-tajba
Ngħidu li applikazzjoni tiftaħ HTTPS verifikat lejn is-servizz tagħha stess waqt li l-pakketti tagħha jgħaddu wkoll minn VPN. Dan id-disinn għandu żewġ konfini b’endpoints li jistgħu jkunu differenti, u hekk jidher tieni kanal protett.
Id-differenza tagħmel differenza fil-gateway. Jekk is-sessjoni TLS tal-applikazzjoni tintemm fil-gateway VPN minflok fl-applikazzjoni, il-protezzjoni li ħsibt li kellek lil hinn mit-tunnel mhijiex hemm. Ikteb min jtemm kull kanal qabel ma tallega l-proprjetà.
Staqsi x’ibiddel l-installazzjoni
Talba biex jiġi installat ċertifikat tista’ tfisser tliet affarijiet differenti. Tista’ tibdel l-identità tal-klijent stess, ankra ta’ fiduċja speċifika għall-applikazzjoni, jew fiduċja fil-livell tal-pjattaforma għal kull ħaġa fuq it-tagħmir. Dawn mhumiex ekwivalenti, u biss l-aħħar waħda taffettwa software mhux relatat.
Staqsi liema mit-tlieta hija intiża, imbagħad staqsi x’għandha tilħaq. Jekk it-tweġiba hija aktar encryption, il-proposta hija diretta lejn il-mekkaniżmu żbaljat.
Ikteb il-konfini
Għal kull kanal, irrekordja l-endpoints, l-identità li tivverifika kull naħa, u x’jista’ jara l-operatur fin-nofs. Imbagħad irrekordja l-imġiba fil-falliment: x’jiġri meta l-verifika tfalli, u x’jiġri meta l-kanal jiġi miċħud.
Żewġ linji fuq paġna waħda normalment issolvu argument li rotazzjoni ta’ ċertifikat ma tistax issolvi.
Iddeċiedi b’tliet mistoqsijiet
Il-problema hija min jiddikjara li hu l-endpoint, jew x’jiġri mid-dejta? Il-protezzjoni trid tkompli lil hinn mill-gateway VPN sa applikazzjoni speċifika? U tista’ ssemmi ż-żewġ endpoints li jtemmu tieni kanal?
Jekk l-ewwel mistoqsija hija dik vera, sewwi l-identità u l-fiduċja. Jekk hija t-tieni jew it-tielet, iddisinja t-tieni kanal u ħalli ċ-ċertifikat fejn jixraqlu.