HTTPS lejn IP privata: identità taċ-ċertifikat jew isem tal-host?
IP privata tista' tkun identità TLS valida jekk iċ-ċertifikat jgħid hekk. Agħżel bejn SAN tal-IP u isem tal-host stabbli, imbagħad ippjana l-bidla fl-indirizz.
Is-servizz tiegħek fuq https://10.60.0.25 jista' jkollu TLS awtentikat anki mingħajr isem DNS. L-indirizz huwa l-identità li l-klijent irid jivvalida, u ċ-ċertifikat irid jiddeskriviha eżattament. Id-deċiżjoni hija jekk dak l-indirizz huwiex stabbli biżżejjed biex ikun identità, jew jekk isem tal-host huwiex aktar faċli biex jinżamm. Il-VPN iwieġeb għall-aċċessabbiltà; ma jwieġebx għal dan.
Jekk l-identità u l-fiduċja jkunu sew, URL ibbażat fuq IP huwa disinn leġittimu.
X'jivvalida fil-fatt il-klijent
Il-klijent iqabbel l-identità ta' referenza fl-URL man-nomi suġġett alternattivi taċ-ċertifikat. Għal indirizz IP, dan ifisser entrata iPAddress ugwali għall-indirizz. Isem komuni favur il-ħbieb mhuwiex sostitut.
RFC 9525 jifred l-identitajiet tal-indirizzi IP min-nomi DNS u jiddefinixxi r-regola tat-tqabbil. It-tqegħid tal-indirizz biss fit-tikketta tas-suġġett, jew bħala entrata tat-tip DNS, ma jipproduċix tqabbil. Għalhekk is-SAN huwa l-qasam li għandu jiġi eżaminat meta tidher twissija.
Il-fiduċja hija t-tieni verifika, indipendenti. Tqabbil tal-isem ma jsewwix katina mhux fdati, ċertifikat skadut jew ċertifikat maħruġ għal skop ieħor.
L-ewwel deċiżjoni: huwa l-indirizz stabbli biżżejjed biex ikun identità
Jekk l-indirizz huwa fiss għall-ħajja kollha tal-varar, ċertifikat SAN tal-IP huwa sempliċi u onest. Jekk is-servizz jista' jiċċaqlaq, kull ċaqliq isir sostituzzjoni taċ-ċertifikat u aġġornament koordinat tal-klijent.
Isem tal-host stabbli jnaqqas dik l-akkoppjatura. Il-klijenti jużaw l-isem, id-DNS approvat jimmappjah għall-indirizz attwali, u bidla fl-indirizz tieqaf tkun bidla fl-identità. Iċ-ċertifikat għadu jeħtieġ tiġdid, iżda l-URL ma tinbidilx.
Entrata tal-fajl hosts amministrata tista' tipprovdi l-mappatura f'ambjent żgħir. Hija żżid responsabbiltà tad-distribuzzjoni; ma tissostitwix il-verifika TLS.
It-tieni deċiżjoni: kif il-klijent se jafda l-emittent
Għal CA privata, iddistribwixxi l-ankra tal-fiduċja lill-apparati maħsuba permezz ta' mekkaniżmu approvat. Tħarreġx lill-utenti biex jaqbżu t-twissijiet jew jinstallaw ċertifikat li tagħtihom paġna tad-dħul. Jekk trid ċertifikat fdati pubblikament, iċċekkja r-regoli attwali tal-emittent għall-indirizzi privati qabel ma tippjana fuqhom. Il-biċċa l-kbira tal-emittenti pubbliċi mhux se jivvalidaw IP privata bħala identità pubblika.
Irrevedi l-browser jew l-applikazzjoni reali. Il-maħżen tal-fiduċja u l-imġiba tal-validazzjoni tiegħu huma aktar importanti mid-dokumentazzjoni ġenerali taċ-ċertifikati tas-sistema operattiva. Ivverifika fuq l-apparat reali, mhux biss fil-console.
Il-gateway VPN jista' ma jkunx il-magna li qed tħaddem l-applikazzjoni web, għalhekk tassumix li ċ-ċertifikat tat-tunnel għandu x'jaqsam ma' dan.
Ippjana l-bidla fl-indirizz qabel ma sseħħ
Jekk 10.60.0.25 issir 10.60.0.40, iċ-ċertifikat antik ma jiddeskrivix aktar l-URL. Ippjana s-sostituzzjoni u l-aġġornament tal-klijent flimkien, u qatt ma tiddiżattiva l-verifika waqt il-moviment.
Agħżel l-identità li l-utenti se jittajpjaw jew l-applikazzjonijiet se jikkonfiguraw, imbagħad allinja l-ħruġ, il-fiduċja, il-varar u t-tiġdid madwarha. Paġna aċċessibbli b'twissija mwarrab mhijiex l-istess riżultat bħal servizz li l-klijent jivvalida l-identità tiegħu.