Lasten certifikat VPN ni dodatna plast šifriranja

Namestitev lastnega certifikata na končno točko VPN se zdi kot dodajanje zaščite, ker se certifikati in šifriranje povsod pojavljajo skupaj. V praksi spremeni dve stvari: katero identiteto predstavlja končna točka in kateremu izdajatelju je njen partner pripravljen zaupati. Nobeno od tega ne ovije vaših podatkov drugič. Če je resnična potreba drug zaščiten kanal, potrebujete drug kanal z lastnimi končnimi točkami, ne še enega certifikata.

Tri ločene naloge v rokovanju TLS 1.3

RFC 8446 te stvari ločuje, in prav ta ločitev je ves odgovor. Sporočilo Certificate nosi verigo certifikatov končne točke. CertificateVerify dokazuje posedovanje ustreznega zasebnega ključa in veže prepis rokovanja. Plast zapisov ščiti promet z dogovorjenimi prometnimi ključi.

Zamenjajte certifikat in prvi dve postavki se spremenita. Zaščita zapisov se ne izvaja dvakrat in ne postane močnejša zato, ker je izdajatelj zdaj zaseben.

Kaj zasebna CA v resnici kupi

Kupi nadzorovan sistem identitete: vi odločate, komu se izda, vi odločate, katere izdajatelje partnerji sprejmejo, in lahko prekličete po svojem urniku. To je resnično uporabno, ko upravljate oba konca.

Prinese pa tudi obveznosti. Zaupanje je treba razdeljevati zavestno, preverjanje partnerja mora ostati vključeno, življenjski cikel poverilnic pa mora imeti lastnika. Zasebna CA ni bližnjica mimo nobene od teh treh.

Kdaj je drugi kanal pravi odgovor

Recimo, da aplikacija odpre preverjen HTTPS do svoje storitve, medtem ko njeni paketi potujejo tudi skozi VPN. Takšna zasnova ima dve meji z morebiti različnimi končnimi točkami, in tako je videti drug zaščiten kanal.

Razlika je pomembna na prehodu. Če se seja TLS aplikacije konča na prehodu VPN in ne v aplikaciji, zaščite, za katero ste mislili, da jo imate za tunelom, ni tam. Zapišite, kdo konča vsak kanal, preden to lastnost zahtevate.

Vprašajte, kaj namestitev spremeni

Zahteva za namestitev certifikata lahko pomeni tri različne stvari. Lahko spremeni lastno identiteto odjemalca, sidro zaupanja, specifično za aplikacijo, ali zaupanje na ravni platforme za vse na napravi. To ni enakovredno in le zadnje vpliva na nepovezano programsko opremo.

Vprašajte, katera od treh je mišljena, nato pa, kaj naj doseže. Če je odgovor več šifriranja, je predlog usmerjen v napačen mehanizem.

Zapišite meje

Za vsak kanal zapišite končne točke, identiteto, ki jo preverja vsaka stran, in kaj vidi operater v sredini. Nato zapišite vedenje ob napaki: kaj se zgodi, ko preverjanje ne uspe, in kaj, ko je kanal zavrnjen.

Dve vrstici na eni strani običajno razrešita spor, ki ga rotacija certifikatov ne more razrešiti.

Odločite s tremi vprašanji

Je težava v tem, kdo se končna točka izdaja, da je, ali v tem, kaj se zgodi s podatki? Mora zaščita trajati za prehodom VPN do določene aplikacije? In lahko navedete dve končni točki, ki bi končali drugi kanal?

Če je resnično prvo vprašanje, popravite identiteto in zaupanje. Če je drugo ali tretje, oblikujte drugi kanal in pustite certifikat tam, kjer mu je mesto.