TLS VPN verzus IPsec: päť polí, ktoré stoja za revíziu

Zaraďovať TLS VPN proti IPsec VPN podľa rodiny protokolov odpovedá na otázku, ktorú nikto nepoložil, a zvyčajne cituje konštrukciu, ktorú obe rodiny opustili pred rokmi. Čo recenzent skutočne môže posúdiť, je vyjednaná ochrana, identita partnera, model klienta a vystavená služba. Tieto štyri veci sú v nasadení viditeľné a žiadna z nich nevyplýva z etikety produktu. Požiadajte o päť polí a rozhovor sa stane konkrétnym.

Päť polí a etiketa nie je jedno z nich

Prvé pole je podporovaná verzia softvéru, pretože opis protokolu bez verzie je brožúra. Druhé je vyjednaná verzia protokolu, ktorá rozhoduje, aké konštrukcie sú vôbec dostupné. Tretie je ochranná sada, štvrté je metóda autentizácie pre partnera aj používateľa, a piate je rozsah prístupu, ktorý produkt po prijatí udeľuje.

Etiketa SSL VPN pokrýva najmenej tri rôzne produkty: plného sieťového klienta, proxy aplikácií a starší portál založený na prehliadači. Vystavujú rôzne služby a zlyhávajú inak, takže etiketa nemôže nahradiť pole rozsahu.

Čo autentizované šifrovanie skutočne mení

TLS 1.3 vyžaduje autentizované šifrovanie, čo z protokolu odstraňuje staršiu konštrukciu MAC-then-encrypt, namiesto toho, aby ju nechalo voliteľnú. IPsec ESP má sady autentizovaného šifrovania rovnako dlho, s AES-GCM definovaným vo vlastnom RFC. V oboch rodinách záruka pochádza z vyjednanej sady, nie z názvu rodiny, a preto zoznam polí začína verziou. Recenzent, ktorý nedokáže sadu pomenovať, nemá čo hodnotiť.

Preto je historické porovnanie zavádzajúce. Nasadenie pripnuté k starej verzii TLS so sadou CBC a iné, ktoré prevádzkuje TLS 1.3 so sadou AEAD, nemajú rovnaký bezpečnostný postoj, aj keď obe sú TLS VPN. Rovnaké rozdelenie existuje na strane IPsec medzi modernou sadou ESP a staršou kombináciou.

Čítajte vyjednané hodnoty, nie konfiguráciu, ktorú ste zamýšľali. Príkazy nižšie ukazujú, na čom sa živý koncový bod a živý tunel skutočne dohodli.

openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sas

Ak koncový bod nechce vyjednávať TLS 1.3, je to zistenie, nie preferencia. Ak tunel uvádza sadu, ktorú ste nečakali, konfigurácia, na ktorej záleží, je tá, ktorú zvolili partneri, nie tá zo šablóny.

Identita partnera je samostatná otázka

Šifrovanie bez overeného partnera chráni prevádzku pred pozorovateľmi a odovzdáva ju tomu, kto na spojenie odpovedal. Autentizácia partnera sa pýta, aká identita sa očakáva, aký dôveryhodný materiál ju overuje a ako sa klient správa, keď odpoveď nesedí. Reťaz certifikátov, pripnutý kľúč a vopred zdieľané tajomstvo sú tri rôzne odpovede s tromi rôznymi prevádzkovými nákladmi.

Potom položte rovnaké otázky o používateľovi alebo zariadení. Brána, ktorá autentizuje stroj a pustí akéhokoľvek používateľa, alebo naopak, má konkrétny postoj, ktorý treba zapísať, nie predpokladať. Oprávnenia k prostriedkom uplatnené po prijatí sú súčasťou toho istého poľa, pretože autentizácia nie je autorizácia.

Zachovanie kontrol názvu hostiteľa a certifikátu je dôležitejšie než známosť prihlasovacieho okna. Klient nakonfigurovaný tak, aby overovanie ignoroval, odstránil jediný krok, ktorý odlišuje vašu bránu od presvedčivej imitácie.

Hranica, ktorú produkt vystavuje

Bezklientový portál proxyuje vybrané operácie aplikácií cez bránu, takže používateľ dosiahne rozhranie, nie sieť. Klient plného tunela nesie to, čo vyberú jeho trasy a politika filtrovania, čo je oveľa väčšia plocha. Porovnávať oboch podľa sily protokolu obchádza rozdiel v tom, kam sa útočník cez ne dostane. Jeden vystavuje rozhranie aplikácie, druhý smerovanú sieť, a obe vyžadujú iné revízie.

Spýtajte sa, ktorá služba je vystavená, ktoré operácie sú autorizované a na čom sama brána načúva. Administračné rozhranie dostupné z rovnakej adresy ako používateľský portál je zistenie nasadenia a žiadna voľba protokolu to nevykompenzuje.

Rozsah na aplikáciu ďalej zužuje plochu a mení aj správanie pri zlyhaní, keď tunel spadne. Návrh predpokladajúci dosah plného tunela sa láme spôsobmi, ktoré návrh pre jednotlivé aplikácie nepozná, a záťaž podpory nasleduje.

Rozhodnite výsledok zlyhania a životný cyklus

Čo sa stane, keď autentizácia alebo ochrana nie je dostupná, je rozhodnutie o politike, ktoré patrí do revízie. Blokovaný výsledok a neoznámený priamy návrat majú rôzne dôsledky a rozdiel je v zozname funkcií neviditeľný. Uveďte zamýšľané správanie vedľa prostriedku, ktorý chráni.

Zahrňte životný cyklus záplat a podpory brány, jej povolené externé funkcie a cestu aktualizácie klientov. Správna voľba protokolu neurobí bezpečnou zle nasadenú službu a väčšina incidentov žije v tejto medzere, nie v sade.

Napíšte päť polí, politiku zlyhania a vlastníka životného cyklu na jednu stránku. Tá stránka je revízia; porovnanie rodín protokolov je názor.