Predtým ako nahradíte IPsec Shadowsocksom, vypíšte chýbajúce úlohy

Tri služby, jeden tunel: webová aplikácia, databáza a zdieľaný priečinok. Niekto navrhne vymeniť IPsec za Shadowsocks, pretože sa ľahšie prevádzkuje. Nasledujúca debata o šifrovaní míňa podstatu, lebo tunel robí viac úloh naraz a len jedna z nich je o šifrách. Zapíšte si tieto úlohy pred porovnávaním produktov. Zoznam je krátky a ktorákoľvek položka môže výmenu zrušiť.

Začnite tým, ako sa prevádzka zachytáva

Protokol má dve polovice. Lokálna komponenta prijme spojenie, zašifruje tok, ktorý sa začína cieľovou adresou, a pošle ho vzdialenej komponente. Vzdialená polovica otvorí spojenie k tomuto cieľu a preposiela bajty. UDP sa správa rovnako s datagramami. Toto je preposielanie pre toky, ktoré zachytí, a nič nehovorí o tokoch, ktoré nezachytí. Aplikácia, ktorá hovorí s proxy priamo, je ľahká; všetko ostatné potrebuje adaptér alebo pravidlá smerovania, aby sa vôbec zachytilo.

Zdokumentujte spôsob zachytávania pre každú aplikáciu, než začnete porovnávať čokoľvek ďalšie. Nezachytená prevádzka odchádza obvyklou cestou a nikto si to nevšimne, kým sa nejaká služba mimo kancelárie nezačne správať inak.

Pomenujte každý cieľ a protokol

Vzdialená polovica musí dosiahnuť každú internú službu. Fungujúca šifrovaná relácia k tomuto hostiteľovi nepridá trasu z neho do databázy a nezabezpečí, že sa interné mená vyriešia na klientovi. Vypíšte adresy, porty a protokoly namiesto toho, aby ste napísali, že LAN je zahrnutá.

Pridajte prípady, ktoré rozbíjajú upratané návrhy: interný DNS, aplikácie ignorujúce nastavenia proxy a každý tok, ktorý musí byť spustený zo servera smerom ku klientovi. Každý z nich potrebuje výslovnú dohodu, nie predpoklad.

Šifrovanie nie je autorizácia

Dokumentované metódy AEAD v Shadowsocks poskytujú overené šifrovanie, takže odmietnuť celú rodinu ako nezabezpečenú je chyba. Rovnako chybné je nechať tento fakt odpovedať na otázku prístupu. Niekto musí rozhodnúť, kto dosiahne na ktorú službu, ako sa prístup odoberie, keď človek odíde, kde sú uložené tajomstvá a ktorá komponenta vynucuje hranicu. Jediné zdieľané tajomstvo dáva každému držiteľovi rovnaký dosah a odchod jedného človeka sa mení na rotáciu pre všetkých.

Postavte súčasné nastavenie IPsecu pred rovnakú mieru. Jeho označenie nedokazuje, že pravidlá sú správne, a porovnanie vyleštenej verzie jedného návrhu s hmlistou verziou druhého nič nerozhodne.

Vypíšte kontroly, ktoré dnes existujú na oboch stranách, a potom posúďte, s ktorými medzerami dokážete žiť.

Spočítajte prevádzkovú prácu

Každá náhrada potrebuje vlastníka klientskych balíčkov, aktualizácií servera, rotácie prihlasovacích údajov a riešenia výpadkov. Všimnite si, čo každá aplikácia robí, keď tunel nie je dostupný: zlyhá, skúsi to znova po lokálnej ceste alebo čaká. Také správanie vychádza z nasadenia, nie z názvu protokolu.

Pre jednu webovú aplikáciu môže úzka proxy stačiť. Pre prístup do celej siete s oprávneniami pre jednotlivé osoby obvykle doplnkové diely stoja viac ako tunel, ktorý nahradili.

Rozhodnutie nie je o tom, ktorý produkt znie bezpečnejšie. Je o tom, ktorý návrh dokončí uvedené úlohy s kontrolami, ktoré tím skutočne bude udržiavať.