Prije nego IPsec zamijeniš Shadowsocksom, popiši poslove koji nedostaju

Tri usluge, jedan tunel: web aplikacija, baza podataka i dijeljeni folder. Netko predlaže da IPsec zamijenimo Shadowsocksom jer ga je lakše održavati. Rasprava o enkripciji koja slijedi promašuje poantu, jer tunel obavlja nekoliko poslova odjednom i samo je jedan od njih o šiframa. Zapiši te poslove prije nego počneš porediti proizvode. Popis je kratak, a svaka pojedina stavka može poništiti zamjenu.

Počni od toga kako se promet hvata

Protokol ima dvije polovine. Lokalna komponenta prihvaća vezu, šifrira tok koji počinje odredištem i šalje ga udaljenoj komponenti. Udaljena polovina otvara vezu prema tom odredištu i prenosi bajtove. UDP slijedi isti obrazac s datagramima. To je prosljeđivanje za tokove koje uhvati, a ništa ne govori o tokovima koje ne uhvati. Aplikacija koja eksplicitno govori proxyju je laka; sve ostalo treba adapter ili pravila usmjeravanja da bi uopće bilo uhvaćeno.

Dokumentiraj način hvatanja po aplikaciji prije bilo kakve daljnje usporedbe. Neuhvaćen promet izlazi uobičajenim putem i nitko to ne primijeti dok se neka usluga izvan ureda ne počne ponašati drukčije.

Imenuj svako odredište i protokol

Udaljena polovica mora moći dosegnuti svaku internu uslugu. Ispravna šifrirana sesija prema tom hostu ne dodaje rutu od njega do baze podataka i ne omogućuje da se interna imena razriješe na klijentu. Popiši adrese, portove i protokole umjesto da napišeš da je LAN uključen.

Dodaj slučajeve koji kvare uredne dizajne: interni DNS, aplikacije koje ignoriraju proxy postavke i svaki tok koji mora biti pokrenut s poslužitelja prema klijentu. Svaki od njih traži izričit dogovor, a ne pretpostavku.

Enkripcija nije autorizacija

Dokumentirane AEAD metode u Shadowsocksu pružaju autentificiranu enkripciju, pa je pogrešno cijelu porodicu odbaciti kao nesigurnu. Jednako je pogrešno pustiti tu činjenicu da odgovori na pitanje pristupa. Netko mora odlučiti tko doseže koju uslugu, kako se pristup ukida kad osoba ode, gdje se čuvaju tajne i koja komponenta provodi granicu. Jedna zajednička tajna daje svakom vlasniku isti doseg, a odlazak jedne osobe postaje rotacija za sve.

Postavi trenutno IPsec okruženje pred isti standard. Njegova oznaka ne dokazuje da su pravila ispravna, a usporedba uglađene verzije jednog dizajna s nejasnom verzijom drugog ne odlučuje ništa.

Popiši kontrole koje danas postoje na obje strane, pa procijeni s kojim prazninama možeš živjeti.

Prebroji operativni rad

Svaka zamjena treba vlasnika za klijentske pakete, nadogradnje poslužitelja, rotaciju vjerodajnica i rukovanje otkazima. Zabilježi što svaka aplikacija radi kad tunel nije dostupan: pada, ponovno pokušava lokalnim putem ili čeka. Takvo ponašanje dolazi iz postave, ne iz imena protokola.

Za jednu web aplikaciju uzak proxy može biti dovoljan. Za pristup cijeloj mreži s dozvolama po osobi dodatni dijelovi obično stoje više od tunela koji su zamijenili.

Odluka nije koji proizvod zvuči sigurnije. Nego koji dizajn dovršava navedene poslove uz kontrole koje će tim zaista održavati.