Vlastný certifikát VPN nie je ďalšia šifrovacia vrstva

Inštalácia vlastného certifikátu na koncový bod VPN pôsobí ako pridanie ochrany, pretože certifikáty a šifrovanie sa všade objavujú spolu. V praxi to mení dve veci: akú identitu koncový bod predstavuje a ktorému vydavateľovi je jeho partner ochotný dôverovať. Ani jedno z toho nezabali vaše dáta druhýkrát. Ak je skutočnou potrebou druhý chránený kanál, potrebujete druhý kanál s vlastnými koncovými bodmi, nie ďalší certifikát.

Tri oddelené úlohy v handshake TLS 1.3

RFC 8446 tieto veci oddeľuje a práve to oddelenie je celá odpoveď. Správa Certificate nesie reťazec certifikátov koncového bodu. CertificateVerify preukazuje držanie zodpovedajúceho súkromného kľúča a viaže prepis handshake. Záznamová vrstva chráni prevádzku pomocou vyjednaných prevádzkových kľúčov.

Vymeňte certifikát a prvé dve položky sa zmenia. Ochrana záznamov nebeží dvakrát a nezosilní len preto, že je vydavateľ teraz súkromný.

Čo súkromná CA skutočne prináša

Prináša riadený systém identity: vy rozhodujete, komu sa vydáva, vy rozhodujete, ktorých vydavateľov partneri prijímajú, a môžete odvolávať podľa svojho plánu. To je naozaj užitočné, keď spravujete oba konce.

Prináša však aj povinnosti. Dôveru treba šíriť zámerne, overovanie partnera musí zostať zapnuté a životný cyklus prihlasovacích údajov musí niekto vlastniť. Súkromná CA nie je skratkou okolo žiadnej z tých troch vecí.

Kedy je druhý kanál správnou odpoveďou

Predstavte si aplikáciu, ktorá otvára overené HTTPS k vlastnej službe, zatiaľ čo jej pakety putujú aj cez VPN. Taký návrh má dve hranice s možno odlišnými koncovými bodmi, a tak vyzerá druhý chránený kanál.

Rozdiel je dôležitý na bráne. Ak TLS relácia aplikácie končí na VPN bráne namiesto v aplikácii, ochrana, o ktorej ste si mysleli, že ju máte za tunelom, tam nie je. Napíšte si, kto ukončuje každý kanál, než toto vlastníctvo budete tvrdiť.

Opýtajte sa, čo inštalácia mení

Žiadosť o inštaláciu certifikátu môže znamenať tri rôzne veci. Môže zmeniť vlastnú identitu klienta, ukotvenie dôvery špecifické pre aplikáciu alebo dôveru v celej platforme pre všetko v zariadení. To nie je to isté a len posledná z nich ovplyvňuje nesúvisíaci softvér.

Opýtajte sa, ktorá z troch je zamýšľaná, a potom, čo má dosiahnuť. Ak je odpoveďou viac šifrovania, návrh mieri na nesprávny mechanizmus.

Zapíšte hranice

Pri každom kanáli zapíšte koncové body, identitu, ktorú overuje každá strana, a čo môže vidieť operátor v strede. Potom zapíšte správanie pri zlyhaní: čo sa stane, keď overenie zlyhá, a čo keď je kanál odmietnutý.

Dva riadky na jednej strane zvyčajne vyriešia spor, ktorý rotácia certifikátu vyriešiť nedokáže.

Rozhodnite tromi otázkami

Je problém v tom, za koho sa koncový bod vydáva, alebo v tom, čo sa deje s dátami? Musí ochrana pokračovať za VPN bránou ku konkrétnej aplikácii? A dokážete pomenovať dva koncové body, ktoré by ukončili druhý kanál?

Ak je skutočná prvá otázka, opravte identitu a dôveru. Ak druhá alebo tretia, navrhnite druhý kanál a nechajte certifikát tam, kam patrí.