Vlastiti VPN certifikat nije dodatni sloj šifriranja

Instaliranje vlastitog certifikata na VPN endpoint izgleda kao dodavanje zaštite, jer se certifikati i šifriranje posvuda pojavljuju zajedno. U praksi to mijenja dvije stvari: koji identitet endpoint predstavlja i kojem izdavatelju je njegov partner spreman vjerovati. Ni jedno od toga ne obavija vaše podatke drugi put. Ako je stvarna potreba drugi zaštićeni kanal, trebate drugi kanal sa svojim endpointima, a ne još jedan certifikat.

Tri odvojena posla u TLS 1.3 handshakeu

RFC 8446 razdvaja te stvari, i samo to razdvajanje je cijeli odgovor. Poruka Certificate nosi lanac certifikata endpointa. CertificateVerify dokazuje posjedovanje odgovarajućeg privatnog ključa i veže transkript handshakea. Sloj zapisa štiti promet dogovorenim ključevima prometa.

Zamijenite certifikat i prve dvije stavke se mijenjaju. Zaštita zapisa ne izvodi se dvaput i ne postaje jača zato što je izdavatelj sada privatni.

Što privatni CA zapravo daje

Daje kontroliran sustav identiteta: vi odlučujete kome se izdaje, vi odlučujete koje izdavatelje partneri prihvaćaju, i možete opozvati po svom rasporedu. To je zaista korisno kada vodite oba kraja.

Ali donosi i obveze. Povjerenje se mora svjesno distribuirati, provjera partnera mora ostati uključena, a životnim ciklusom akreditiva mora netko upravljati. Privatni CA nije prečac oko nijedne od te tri stvari.

Kada je drugi kanal pravi odgovor

Zamislite aplikaciju koja otvara provjereni HTTPS prema vlastitoj usluzi dok njezini paketi putuju i kroz VPN. Takav dizajn ima dvije granice s potencijalno različitim endpointima, i tako izgleda drugi zaštićeni kanal.

Razlika je važna na gatewayu. Ako TLS sesija aplikacije završava na VPN gatewayu, a ne u aplikaciji, zaštita za koju ste mislili da je imate iza tunela nije tu. Zapišite tko završava svaki kanal prije nego što tvrdite to svojstvo.

Pitajte što instalacija mijenja

Zahtjev za instaliranje certifikata može značiti tri različite stvari. Može promijeniti vlastiti identitet klijenta, trust anchor specifičan za aplikaciju ili povjerenje na razini platforme za sve na uređaju. To nije isto, i samo zadnje utječe na nepovezani softver.

Pitajte koje je od tri namjeravano, pa pitajte što treba postići. Ako je odgovor više šifriranja, prijedlog je usmjeren na pogrešan mehanizam.

Zapišite granice

Za svaki kanal zapišite endpointe, identitet koji svaka strana provjerava i što operater u sredini može vidjeti. Zatim zapišite ponašanje pri kvaru: što se događa kad provjera ne uspije i što kad kanal bude odbijen.

Dva retka na jednoj stranici obično riješe raspravu koju rotacija certifikata ne može.

Odlučite s tri pitanja

Je li problem u tome koga endpoint tvrdi da jest, ili u tome što se događa s podacima? Treba li zaštita nastaviti iza VPN gatewaya do konkretne aplikacije? I možete li navesti dva endpointa koja bi završila drugi kanal?

Ako je prvo pitanje pravo, popravite identitet i povjerenje. Ako je drugo ili treće, dizajnirajte drugi kanal i ostavite certifikat gdje mu je mjesto.