Awtorizzazzjoni bażika fuq HTTPS kontra IPsec: x’tipproteġi kull waħda

Iftaħ l-għodod tal-iżviluppatur, ittella l-applikazzjoni interna u ara talba waħda tgħaddi minn erba’ punti ta’ kontroll qabel ma tiġi murija l-paġna. L-ewwel jiġi riżolt l-isem, imbagħad jinfetaħ konnessjoni TCP, imbagħad handshake TLS jistabbilixxi min hu s-server, u wara biss l-applikazzjoni tistaqsi min int. Ittrattahom bħala avvenimenti separati, għax kull wieħed jonqos b’evidenza differenti u kull wieħed huwa proprjetà ta’ tim differenti. Il-biċċa l-kbira tal-konfużjoni fl-inċidenti tiġi milli taqra 401 bħala problema tal-mina, jew problema tal-mina bħala password ħażina.

Punt ta’ kontroll wieħed: dan huwa s-server li ridt titkellem miegħu

L-handshake TLS iwieġeb dik il-mistoqsija qabel ma tintbagħat xi kredenzjali. Il-klijent tiegħek jivvalida l-katina taċ-ċertifikati kontra maħżen ta’ fiduċja u jivverifika li l-isem fiċ-ċertifikat jaqbel mal-host li daħħalt. Jekk dan jonqos, il-browser juri żball taċ-ċertifikat u lanqas biss jibgħat l-intestatura Authorization. Għalhekk talba għall-password mhijiex prova li s-server huwa awtentiku; hija prova li l-applikazzjoni wieġbet.

Hawn tidher l-ewwel fruntiera. TLS jipproteġi l-konnessjoni sa punt tat-tmiem tagħha. Jekk bilanċjatur tat-tagħbija jtemm TLS u jgħaddi HTTP sempliċi lill-applikazzjoni, is-segment encryptat jispiċċa fil-bilanċjatur, u l-kredenzjali huma protetti biss fuq dik l-ewwel qabża.

Punt ta’ kontroll tnejn: x’jivvjaġġa tassew fi skambju 401

L-awtorizzazzjoni bażika HTTP tibgħat l-identifikatur tal-utent u l-password f’intestatura, kodifikati b’Base64 kif deskritt fil-RFC 7617. Authorization: Basic dXNlcjpwYXNz hija l-forma; il-kodifikazzjoni tista’ tiġi maqluba minn kull min jista’ jaqra t-talba, għalhekk is-segretezza kollha tiġi mit-trasport taħtha. curl -v juri kemm l-isfida WWW-Authenticate: Basic kif ukoll l-intestatura li tibgħat lura.

Dik l-intestatura tgħid lill-applikazzjoni min qed jistaqsi. Ma tgħidx lin-netwerk min jista’ jikkonnettja, u ma tikkripta xejn waħedha. L-applikazzjoni xorta trid tivverifika l-kredenzjali kontra maħżen u tiddeċiedi x’jista’ jagħmel dak il-kont, li hija awtorizzazzjoni u sseħħ wara l-awtentikazzjoni.

Fejn tinsab il-mina IPsec f’dak il-passaġġ

Issa imxi ’l barra mill-browser. Mina IPsec bejn gateway u ieħor tipproteġi traffiku magħżul bejn żewġ gateways tas-sigurtà, mhux bejn il-laptop tiegħek u l-proċess tal-applikazzjoni. ESP fil-modalità tal-mina jgeżwer il-pakkett oriġinali, il-gateways jikkriptawh u jawtentikawh, u l-indirizzi interni jibqgħu ħajjin sabiex in-naħa l-bogħida tkun tista’ ddawwar it-talba lejn l-applikazzjoni.

L-għażla hija l-parti li fiha n-nies jitfixklu. Il-mini bbażati fuq il-politika jużaw seletturi tat-traffiku, spiss espressi bħala listi ta’ kontroll tal-aċċess, biex jiddeċiedu liema pakketti jidħlu fil-mina. Il-mini bbażati fuq ir-rotta jużaw minflok interface virtwali u t-tabella tar-routing. Fuq Linux ip xfrm policy juri s-seletturi u ip xfrm state juri l-assoċjazzjonijiet tas-sigurtà stabbiliti; fuq apparat tal-firewall l-ekwivalenti hija t-tabella SA tal-mina flimkien ma’ tracker tal-pakketti.

Il-konsegwenza tiswa li tingħad b’mod ċar. Pakkett jista’ joqgħod ġewwa mina perfettament sana u xorta jġorr talba HTTPS li l-applikazzjoni tirrifjuta, u kredenzjali validi jistgħu jaslu permezz ta’ passaġġ mingħajr ebda mina jekk ir-routing jippermetti dan.

Aqra l-falliment fil-livell li rrappurtah

401 tfisser li l-applikazzjoni ma aċċettatx il-kredenzjali. 403 tfisser li aċċettat l-identità u rrifjutat l-operazzjoni. Żball TLS tfisser li l-klijent ma aċċettax is-server. L-ebda rotta jew nuqqas ta’ qbil fil-politika tfisser li l-pakkett qatt ma wasal għall-gateway imbiegħed. Erba’ fallimenti differenti, erba’ sidien differenti, u l-ebda wieħed minnhom ma jiġi ddijanjostikat billi tħares lejn il-formola tad-dħul.

Uża l-evidenza li tipproduċi kull saff: il-pannell tan-netwerk tal-browser għall-istatus u l-intestaturi, openssl s_client -connect host:443 għall-katina taċ-ċertifikati, il-counters SA u l-logs tal-gateway għat-traffiku tal-mina, u l-log tal-applikazzjoni għad-deċiżjoni tal-kont. Meta żewġ saffi jirrappurtaw żbalji fl-istess ħin, sewwi l-aktar baxx l-ewwel, għax mina mejta tista’ faċilment taħbi falliment ta’ awtentikazzjoni u viċi versa.

Iġġenera mappa ta’ servizz wieħed mit-tarf sat-tarf

Ikteb ħames linji għas-servizz li qed tiddijanjostika: liema pari tgħaqqad il-mina, liema subnets u ports jippermettu s-seletturi, fejn jintemm TLS u liema identità tasserixxi ċ-ċertifikat, liema kont u rwol tal-applikazzjoni jintużaw, u fejn jirreġistra kull saff. Żommhom fuq paġna waħda, għax il-punt tal-mappa huwa li juri fejn tintemm ir-responsabbiltà ta’ saff u tibda dik li jmiss.

Imbagħad ipprova każ negattiv wieħed għal kull saff. Uża password ħażina u kkonferma li tikseb 401, mhux timeout. Qabbad minn subnet barra s-seletturi u kkonferma li l-pakkett ma jgħaddix mill-mina. Ippreżenta ċertifikat għall-isem ħażin u kkonferma li l-klijent jirrifjuta qabel ma jibgħat il-kredenzjali. Dawk it-tliet riżultati jgħidulek aktar dwar id-disinn milli kwalunkwe dijagramma tal-kaxxi.

Fl-aħħar, iddeċiedi b’mod deliberat liema protezzjoni teħtieġ kull relazzjoni. L-awtorizzazzjoni bażika fuq TLS hija għażla raġonevoli għal għodda interna żgħira wara gateway; mhijiex sostitut għall-awtorizzazzjoni għal kull utent jew għall-protezzjoni tat-traffiku lil hinn mill-punt tat-tmiem TLS. Il-mina tipproteġi l-passaġġ, iċ-ċertifikat jipproteġi l-qabża, u l-401 tipproteġi l-kont, u biss l-aħħar waħda taf min int.