TLS jivvjaġġa ġewwa l-kanal tal-kontroll, mhux minn ġot-tunnel kollu

Li tara l-kelma TLS fid-deskrizzjoni ta' VPN u tikkonkludi li proxy tal-web se jifhem it-traffiku hija shortcut komuni. Ġewwa dan il-protokoll il-pari jiskambjaw il-pakketti tagħhom stess, u TLS jaħdem bħala parti minn kanal wieħed f'dak l-iskambju. Il-payload li jimpurtah mill-utent jivvjaġġa f'format ta' messaġġ differenti, u għalhekk it-tnejn qatt ma jaqblu ma' sessjoni HTTPS ordinarja.

L-involukru jiġi l-ewwel

Kull pakkett tat-tunnel jibda bl-header tal-protokoll stess: tip ta' messaġġ, identifikatur taċ-ċavetta u, fuq trasport ta' fluss ta' bytes, prefiss ta' tul li jimmarka fejn jintemm il-pakkett. Qarrej li ma janalizzax dak l-involukru ma jistax ikun jaf fejn jibda l-qasam li jmiss.

outer transport (UDP datagram or TCP stream)
  -> OpenVPN header (opcode, key id, length where needed)
    -> control message (reliability wrapper, TLS exchange)
    -> data message (protected inner packet)

Dak l-abbozz huwa mappa u mhux tabella ta' bytes, għax il-qasam eżatti jiddependu mit-tip ta' messaġġ, għalkemm l-ewwel ottett dejjem jippakkja l-opcode u l-identifikatur taċ-ċavetta flimkien. Li taqta' t-tip ta' messaġġ min-numru tal-port huwa kif id-dekowders jispiċċaw isemmu ħażin dak li jaraw. L-ordni hija dik li timporta għad-dijanjosi: trasport, imbagħad l-involukru tal-protokoll, imbagħad wieħed minn żewġ tipi ta' xogħol. Aqra l-involukru qabel ma tifforma opinjoni dwar dak li jiġi wara. Dekowder li jibda fil-post ħażin jipproduċi nonsense kunfidenti.

Is-saff tal-affidabbiltà jappartjeni lill-protokoll

Il-messaġġi tal-kontroll jeħtieġu kunsinna ordnata u kkonfermata, u l-protokoll jipprovdiha huwa stess b'konfermi u trażmissjonijiet mill-ġdid. Konferma tista' tasal bħala messaġġ tagħha jew tivvjaġġa ma' messaġġ tal-kontroll ieħor, li jagħmel it-traċċi jidhru irregolari għal min jistenna skambju wieħed nadif.

Il-vantaġġ huwa li l-handshake TLS jikseb trasportatur affidabbli anke meta t-trasport ta' barra huwa UDP. L-ispiża hija li datagram wieħed jista' jkun fih biss parti minn dak il-konversazzjoni, għalhekk li tittrattah bħala rekord TLS awtonomu jipproduċi nonsense. L-immuntar mill-ġdid irid iseħħ fis-saff tal-protokoll. Huwa għalhekk li pakkett maqbud rari jidher bħala pass sħiħ tal-handshake.

Li tbiddel it-trasport ta' barra għal TCP ma jneħħix dan is-saff. Trasport affidabbli jfisser inqas trażmissjonijiet mill-ġdid fil-livell tal-protokoll, mhux li l-qafas jisparixxi jew li t-traffiku jsir HTTP.

Il-pakketti tad-data jużaw format differenti

Ladarba s-sessjoni teżisti, il-payload utli jasak bħala messaġġi tad-data li jġorru pakketti IP interni jew frejms Ethernet. Huma protetti biċ-ċwievet tagħhom u bl-ipproċessar tagħhom stess, u mhumiex rekords tal-applikazzjoni TLS f'ebda sens li librerija TLS taċċetta.

Dik is-separazzjoni tidher fil-konfigurazzjoni: il-kanal tal-kontroll u l-kanal tad-data għandhom settings taċ-ċifrar separati, għalhekk linja tal-log li ssemmi wieħed ma tgħid xejn dwar l-ieħor. Li taqra ċifrar tal-kontroll qawwi bħala prova ta' ċifrar tad-data qawwi hija żball komuni fir-rappurtar.

Żomm ukoll interpretazzjoni ħażina relatata barra mill-ispjegazzjoni. TLS mhuwiex kanal ta' ċavetta pubblika li joqgħod ħdejn kanal tad-data simmetriku, għax TLS innifsu jipproteġi r-rekords tiegħu b'mod simmetriku ladarba ċ-ċwievet jiġu stabbiliti. Id-distinzjoni vera hija r-rwol u l-format tal-pakkett, mhux liema tip ta' kriptografija tuża kull naħa.

Għalfejn proxy HTTPS ma jistax jgħin

Proxy li jtemm TLS jistenna fluss ta' rekords TLS u mbagħad protokoll tal-applikazzjoni fih. Il-kanal tal-kontroll ta' dan il-protokoll jinġarr ġewwa l-qafas tiegħu stess b'saff ta' affidabbiltà madwaru, għalhekk proxy li jtemm jaqra dak il-qafas bħala input korrott.

Mibgħat trasparenti li jgħaddi bytes jew datagrams mingħajr ma jinterpretahom jista' jaħdem, sakemm ma jirriskrivix jew jerġax jiġbor il-fluss. Il-mistoqsija li għandha ssir dwar kull intermedjarju hija jekk jgħaddix it-trasport u l-qafas reali, mhux jekk jappoġġjax TLS xi mkien. Staqsi dan qabel ma tqatta' filgħaxija fuq regoli tal-proxy. Il-biċċa l-kbira tal-fallimenti hawn huma arkitettoniċi u mhux setting nieqes.

Li taqra traċċa kif suppost

Stenna l-ewwel skambju tal-kontroll, imbagħad numru ferm akbar ta' messaġġi tad-data, it-tnejn jaqsmu trasport wieħed. Jekk il-fażi tal-kontroll titlesta u l-fażi tad-data toqgħod, il-ħsara tikkonċerna ċwievet, routing jew filtrazzjoni tal-passaġġ tad-data u mhux il-handshake. Aqbad ftit messaġġi tad-data u iċċekkja jekk humiex tabilħaqq iħallu l-klijent. Dik l-osservazzjoni waħda tqassam it-tfittxija bin-nofs.

Deskrizzjonijiet storiċi tal-metodi taċ-ċwievet fid- dokumentazzjoni tal-protokoll ma jimplikawx li ħarġa partikolari għadha tappoġġja kull format antik. Iċċekkja l-verżjoni li tħaddem qabel ma tibni aspettattiva fuq paragrafu li jiddeskrivi kif kienu jaħdmu l-affarijiet qabel.