L-iffissar TLS u d-dħul VPN iwieġbu mistoqsijiet differenti

Qiegħed app mobbli privata wara VPN u persuna raġonevoli se tistaqsi jekk għadhiex teħtieġ l-iffissar taċ-ċertifikat. Il-mistoqsija tinstema’ bħala għażla bejn żewġ kontrolli ekwivalenti, u fil-fatt hija mistoqsija dwar żewġ bibien differenti. Il-VPN tiddeċiedi jekk dan l-apparat jistax juża t-triq; l-app tiddeċiedi jekk is-server li waslet għalih huwiex dak li kienet tistenna. Wieġeb it-tnejn separatament u d-disinn isir aktar sempliċi.

Żewġ bibien, żewġ mistoqsijiet

Id-dħul għan-netwerk jirrigwarda l-klijent: dan l-apparat huwiex irreġistrat, il-kredenzjali tiegħu huwiex validu, u l-politika tħallih jidħol f’din it-triq? Il-fiduċja tal-app tirrigwarda s-server: il-konnessjoni waslet għal servizz b’identità li l-app taċċetta? Dawn it-tweġibiet ġejjin minn sistemi differenti, ifallu għal raġunijiet differenti, u timijiet differenti jsewwuhom. Handshake tal-VPN jista’ jirnexxi waqt li l-app tkun qed titkellem ma’ ċertifikat skadut wara l-pari. App iffissata b’mod perfett xorta tista’ tibqa’ mhux aċċessibbli għal kulħadd, għax l-apparat qatt ma daħal fin-netwerk.

It-tnejn jiżdiedu. Li tneħħi wieħed tneħħi kontroll; li żżid l-ieħor ma jissostitwixxihx.

X’jillimita tassew iffissar

Iffissar jidjieq is-sett ta’ identitajiet tas-server li l-app se taċċetta, normalment billi jismi ċavetta pubblika jew hash taċ-ċertifikat minflok ma jafda kull katina li xi maħżen jiggarantixxi. Dan huwa restrizzjoni mqiegħda fuq il-validazzjoni ordinarja, mhux sostitut tagħha. Il-validazzjoni ordinarja twieġeb jekk katina hijiex affidabbli; l-iffissar iwieġeb jekk hijiex il-katina li din l-app tistenna. Implimentazzjoni li taqbeż l-ewwel pass ma kisbitx sigurtà, biss novità.

L-oġġett li jiġi ffissat ivarja bejn pjattaformi, għalhekk il-kelma waħedha tgħidlek ftit ħafna. Li tikkopja hash minn maħżen tal-fiduċja ta’ prodott wieħed u tqisha bħala l-istess ħaġa f’app mobbli huwa żball komuni u sieket.

L-iffissar fuq il-pjattaforma huwa konfigurazzjoni, mhux politika

Android tesponi l-iffissar permezz tal-konfigurazzjoni tas-sigurtà tan-netwerk tiegħu, fejn sett ta’ pins iżomm diġesti ta’ ċavetta pubblika u l-katina trid ikun fiha mill-inqas wieħed minnhom. Dak il-fajl huwa għal kull app u jeħtieġ bidla fil-build maħsuba. iOS m’għandux mekkaniżmu ta’ manifest ekwivalenti, għalhekk l-iffissar hemmhekk jgħix fil-kodi tal-valutazzjoni tal-fiduċja tal-app stess.

Billi l-mekkaniżmu jvarja, ir-rekwiżit irid jinkiteb għal kull pjattaforma. Politika li tgħid iffissa ċ-ċertifikat mingħajr ma ssemmi l-pjattaforma mhijiex implimentabbli.

Ir-rotazzjoni tiddeċiedi jekk l-iffissar jibqax

Il-parti diffiċli mhijiex l-ewwel rilaxx, hija t-tiġdid taċ-ċertifikat warajh. Politika tal-fiduċja restrittiva tirrifjuta ċavetta ġdida leġittima bl-istess sodizza bħal dik ta’ attakkant.

Żewġ mekkaniżmi jagħmlu r-rotazzjoni tinżamm: pin ta’ riżerva li diġà jingħata fiduċja qabel ma jkun meħtieġ, u data ta’ skadenza fuq is-sett ta’ pins sabiex l-infurzar jintemm minflok ma jibblokka l-app. It-tnejn huma deċiżjonijiet ta’ politika, u l-iskadenza b’mod partikolari hija tnaqqis maħsub fis-sigurtà, mhux timer bla ħsara. Semmi min jikkontrolla l-build tal-app, il-punt tat-tmiem TLS u t-tiġdid taċ-ċertifikat, u ġġibhom fi proċess wieħed ta’ bidla. Jekk dawk huma tliet timijiet differenti, l-iffissar fl-aħħar mill-aħħar se jikkawża waqfien li ħadd ma kien ippjana.

Apparat mitluf huwa t-tielet problema

L-irtirar ta’ kredenzjali tal-VPN mhux bilfors itemm sessjoni tal-app, u pin tas-server ma jagħmel xejn għal telefon f’id ta’ ħaddieħor. Il-lock tal-apparat, il-ħażna tal-kredenzjali, it-tul tas-sessjoni u l-irtirar mill-bogħod huma deċiżjonijiet separati b’sidien separati. Li tniżżilhom fid-diskussjoni dwar l-iffissar jiggarantixxi li ebda waħda minnhom mhi se tiġi disinjata.

Ittestja erba’ relazzjonijiet minflok dik waħda li tara: is-server u l-operazzjoni maħsuba, kont li għandu jiġi rrifjutat, identità tas-server li għandha tiġi mwarrba, u r-rotazzjoni ppjanata. VPN li taħdem tħarreġ biss l-ewwel waħda. Ikteb x’wera kull test, għax il-persuna li jmiss se tassumi li mina ħadra tfisser li l-erbgħa għaddew.