TLS د کنټرول چینل دننه ځي، نه په ټوله تونل کې

د VPN په بیان کې د TLS کلمه لیدل او دا نتیجه اخیستل چې ویب پروکسي به دا ترافیک وپېژني، یو عامه لنډه لاره ده. د دې پروتوکول په دننه کې سیالان خپل پاکټونه تبادلوي، او TLS د هماغې تبادلې دننه د یو چینل برخې په توګه چلېږي. هغه بار چې کاروونکي ته مهم دی په بل پیغام بڼه ځي، او له همدې امله دواړه هېڅکله له یو عادي HTTPS غونډې سره نه ځانګړي کېږي.

پوښ لومړی راځي

هر تونل پاکټ د پروتوکول خپل سرلیک سره پیلېږي: پیغام ډول، کیلي پېژندونکی او په بایټ جریان لېږد کې د اوږدوالي مخکښ چې ښیي پاکټ چېرې پای ته رسېږي. هغه لوستونکی چې دا پوښ نه شنځي، نه شي پوهېدلی چې بله ساحه چېرې پیلېږي.

outer transport (UDP datagram or TCP stream)
  -> OpenVPN header (opcode, key id, length where needed)
    -> control message (reliability wrapper, TLS exchange)
    -> data message (protected inner packet)

هغه نقشه ده، د بایټ جدول نه، ځکه چې سمې ساحې د پیغام ډول پورې اړه لري، که څه هم لومړی اکتېټ تل د عملیات کوډ او کیلي پېژندونکی یوځای بسته کوي. د پورټ شمېرې څخه د پیغام ډول اټکل کول هغه لاره ده چې ډیکوډرونه په پای کې هغه څه چې ویني غلط نوموي. د تشخیص لپاره ترتیب مهم دی: لېږد، بیا د پروتوکول پوښ، بیا د دوو کار ډولونو یو. له دې وروسته څه راځي دې په اړه نظر جوړولو دمخه پوښ ولولئ. غلط ځای څخه پیلېدونکی ډیکوډر باوري بې معنی خبرې تولیدوي.

د باور وړتیا پوړ د پروتوکول دی

کنټرول پیغامونو ته ترتیب شوی، تایید شوی رسول اړین دی، او پروتوکول دا پخپله د تاییدونو او بیا لېږلو له لارې برابروي. تایید کېدای شي د خپل پیغام په توګه راشي یا له بل کنټرول پیغام سره سفر وکړي، چې دا د یو پاک تبادلې تمه کوونکي لپاره نښې نا منظمې ښکارېږي.

ګټه دا ده چې TLS لاس ورکول حتی کله چې بهرنی لېږد UDP وي باوري وړونکی ترلاسه کوي. بیه دا ده چې یو ډیټاګرام کېدای شي یوازې د هغې خبرې یوه برخه ولري، نو د هغې د خپلواک TLS ثبت په توګه چلند بې معنی خبرې تولیدوي. بیا یوځای کول باید د پروتوکول پوړ کې وشي. له همدې امله نیول شوی پاکټ لږ ځله د بشپړ لاس ورکولو ګام په څېر ښکاري.

بهرنی لېږد TCP ته بدلول دا پوړ نه لرې کوي. باوري لېږد په پروتوکول کچه کم بیا لېږل معنی لري، نه دا چې چوکاټ ورک شي یا ترافیک HTTP شي.

ډاټا پاکټونه بېله بڼه کاروي

کله چې غونډه شتون ولري، ګټور بار د ډاټا پیغامونو په توګه راځي چې دننه IP پاکټونه یا Ethernet چوکاټونه لېږدوي. دوی په خپلو کیليو او خپل پروسس سره ساتل کېږي، او د TLS کتابتون د منلو وړ هېڅ معنی کې د TLS غوښتنلیک ثبتونه نه دي.

دا جلاوالی په ترتیباتو کې ښکاري: کنټرول چینل او ډاټا چینل بېلې سایفر امستنې لري، نو هغه لاګ کرښه چې یو نوموي د بل په اړه هېڅ نه وایي. پیاوړی کنټرول سایفر د پیاوړي ډاټا سایفر ثبوت په توګه لوستل یوه عامه راپور تېروتنه ده.

اړونده غلطه فکر هم له توضیح څخه لرې وساتئ. TLS د عامه کیلي چینل نه دی چې د سمیټریک ډاټا چینل ترڅنګ ناست وي، ځکه چې TLS پخپله خپل ثبتونه سمیټریک ډول ساتي کله چې کیلي ټینګې شي. ریښتینی توپیر رول او پاکټ بڼه ده، نه دا چې هر اړخ کوم ډول کریپټوګرافي کاروي.

ولې HTTPS پروکسي مرسته نه شي کولی

هغه پروکسي چې TLS پای ته رسوي د TLS ثبتونو جریان او بیا د هغه دننه غوښتنلیک پروتوکول تمه لري. د دې پروتوکول کنټرول چینل د خپل چوکاټ دننه، شاوخوا د باور وړتیا پوړ سره لېږل کېږي، نو پای ته رسوونکې پروکسي هغه چوکاټ خراب ننوتل لوستي.

روښانه لېږدوونکی چې بایټونه یا ډیټاګرامونه پرته له تفسیره تېروي، کېدای شي کار وکړي، په دې شرط چې جریان بیا نه لیکي او بیا نه یوځای کوي. هغه پوښتنه چې د هر منځګړي په اړه باید وپوښتل شي دا ده چې آیا هغه ریښتینی لېږد او چوکاټ لېږدوي، نه دا چې آیا چېرې TLS ملاتړ کوي. دا پوښتنه وکړئ دمخه چې ماښام د پروکسي قواعدو ته ورکړئ. دلته ډېری ناکامي معمارانه ده، نه ورکه امستنه.

د نښې سم لوستل

لومړی د کنټرول تبادله، بیا ډېر زیات شمېر ډاټا پیغامونه تمه وکړئ، دواړه یو لېږد شریکوي. که کنټرول پړاو بشپړ شي او ډاټا پړاو ودرېږي، نیمګړتیا د لاس ورکولو نه بلکې د کیليو، لارښوونې یا د ډاټا لارې فلټر کولو اړه ده. څو ډاټا پیغامونه ونیسئ او وګورئ چې آیا هغه کله هم له کلینټ وځي. هغه یوه کتنه پلټنه په نیمه ووېشي.

په پروتوکول اسنادو کې د کیلي میتودونو تاریخي بیانونه دا نه معنی کوي چې یو ټاکلی خپرونکی لا هم هر پخوانی بڼه ملاتړ کوي. هغه نسخه وګورئ چې تاسو یې چلوئ، بیا د هغې پراګراف باندې تمه مه جوړوئ چې بیانوي چې کارونه پخوا څنګه کارول.