अनुकूलित VPN प्रमाणपत्र थप इन्क्रिप्शन तह होइन

VPN इन्डपोइन्टमा अनुकूलित प्रमाणपत्र राख्नु सुरक्षा थपेको जस्तो लाग्छ, किनभने प्रमाणपत्र र इन्क्रिप्शन सर्वत्र सँगै देखिन्छन्। व्यवहारमा यसले दुई कुरा बदल्छ: इन्डपोइन्टले कुन पहिचान प्रस्तुत गर्छ, र त्यसको जोडी कुन जारीकर्तालाई विश्वास गर्न तयार छ। तीमध्ये कुनैले पनि तपाईंको डेटा दोस्रो पटक बेर्दैन। यदि वास्तविक आवश्यकता दोस्रो सुरक्षित च्यानल हो भने, तपाईंलाई आफ्नै इन्डपोइन्ट भएको दोस्रो च्यानल चाहिन्छ, अर्को प्रमाणपत्र होइन।

TLS 1.3 ह्यान्डशेकमा तीन छुट्टाछुट्टै काम

RFC 8446 यी कुरा छुट्ट्याउँछ, र त्यही छुट्याइ नै पूरा उत्तर हो। Certificate सन्देशले इन्डपोइन्टको प्रमाणपत्र शृंखला बोक्छ। CertificateVerify ले सम्बन्धित निजी कुञ्जीको स्वामित्व प्रमाणित गर्छ र ह्यान्डशेक ट्रान्सक्रिप्ट बाँध्छ। रेकर्ड तहले सहमत भएका ट्राफिक कुञ्जीले ट्राफिक सुरक्षित राख्छ।

प्रमाणपत्र बदल्नुहोस्, पहिला दुई कुरा बदलिन्छन्। रेकर्ड सुरक्षा दुई पटक चल्दैन, र जारीकर्ता अहिले निजी भएकाले त्यो बलियो हुँदैन।

निजी CA ले वास्तवमा के दिन्छ

यसले नियन्त्रित पहिचान प्रणाली दिन्छ: कसलाई जारी गर्ने तपाईंले तय गर्नुहुन्छ, जोडीहरूले कुन जारीकर्ता स्वीकार्ने तपाईंले तय गर्नुहुन्छ, र आफ्नै तालिकाअनुसार रद्द गर्न सक्नुहुन्छ। दुवै छेउ आफैं चलाउँदा यो साँच्चै उपयोगी हुन्छ।

तर यसले दायित्व पनि ल्याउँछ। विश्वास जानाजान वितरण गर्नुपर्छ, जोडी जाँच खुला राख्नुपर्छ, र प्रमाणहरूको जीवनचक्रको मालिक कोही हुनुपर्छ। निजी CA यी तीनमध्ये कुनैलाई छल्ने छोटो बाटो होइन।

दोस्रो च्यानल कहिले सही उत्तर हो

मान्नुहोस् एउटा अनुप्रयोगले आफ्नै सेवातर्फ प्रमाणित HTTPS खोल्छ, अर्कोतर्फ त्यसका प्याकेट VPN भएर पनि जान्छन्। त्यस्तो डिजाइनमा इन्डपोइन्ट फरक हुन सक्ने दुई सीमा हुन्छन्, र दोस्रो सुरक्षित च्यानल त्यस्तै देखिन्छ।

यो भिन्नता गेटवेमा महत्त्वपूर्ण छ। यदि अनुप्रयोगको TLS सत्र अनुप्रयोगमा होइन, VPN गेटवेमा सकिन्छ भने, सुरुङको पारि सुरक्षा छ भनी तपाईंले ठानेको कुरा त्यहाँ छैन। यो गुण दाबी गर्नुअघि कुन च्यानल कसले सकाउँछ लेख्नुहोस्।

इन्स्टलले के बदल्छ सोध्नुहोस्

प्रमाणपत्र इन्स्टल गर्ने अनुरोधले तीन फरक कुरा जनाउन सक्छ। यसले क्लाइन्टको आफ्नै पहिचान, अनुप्रयोग-विशेष विश्वास एङ्कर, वा उपकरणमा भएका सबै कुराका लागि प्लेटफर्म-व्यापी विश्वास बदल्न सक्छ। यी समान छैनन्, र अन्तिमले मात्र असम्बन्धित सफ्टवेयरमा असर गर्छ।

तीनमध्ये कुन अभिप्रेत हो सोध्नुहोस्, तयसपछि यसले के हासिल गर्नुपर्छ सोध्नुहोस्। उत्तर थप इन्क्रिप्शन हो भने, प्रस्ताव गलत संयन्त्रतर्फ लक्षित छ।

सीमाहरू लेख्नुहोस्

प्रत्येक च्यानलका लागि इन्डपोइन्ट, प्रत्येक पक्षले प्रमाणित गर्ने पहिचान र बीचको अपरेटरले देख्न सक्ने कुरा अभिलेख गर्नुहोस्। तयसपछि असफलताको व्यवहार अभिलेख गर्नुहोस्: प्रमाणीकरण असफल हुँदा के हुन्छ, र च्यानल अस्वीकार हुँदा के हुन्छ।

एउटा पानाका दुई हरफले सामान्यतया प्रमाणपत्र घुमाइले टुङ्गो लगाउन नसक्ने बहस टुङ्गो लगाउन्छन्।

तीन प्रश्नले निर्णय गर्नुहोस्

समस्या इन्डपोइन्टले आफूलाई को भन्छ भन्ने हो, की डेटालाई के हुन्छ भन्ने? सुरक्षा VPN गेटवेभन्दा पारि निश्चित अनुप्रयोगसम्म जारी रहनुपर्छ? र दोस्रो च्यानल सकाउने दुई इन्डपोइन्टको नाम भन्न सक्नुहुन्छ?

पहिलो प्रश्न साँचो हो भने, पहिचान र विश्वास सुधार्नुहोस्। दोस्रो वा तेस्रो हो भने, दोस्रो च्यानल डिजाइन गर्नुहोस् र प्रमाणपत्रलाई यसको ठाउँमा रहन दिनुहोस्।