Qaybsiga fure TLS iyo shahaadada macmiilka: kee baa galaya?

Qaadashada qiimaha is-dhaafsiga fure ee dadweynaha gacan-qaadka ma aha dhacdada la mid ah macmiilka galaya. Mid baa dejiya xaalad sir ah oo isku-xirka; kan kalena wuxuu sheegayaa macmiilku yahay, waxaana uun dhacda marka serverku codsado oo is-dhaafsigu taageero. In kan hore loo qaato kan dambe waxay keenaysaa gabagabo khaldan oo ku saabsan waxa VPN qarinayo iyo waxa aanu qarinayn. Akhri fariimaha, ka dibna go'aanso mid ka mid ah afarta sifo oo aad dhab ahaan aragtay.

Laba shay oo isku mid u muuqda duubista

Macmiilka TLS 1.3 wuxuu ku dari karaa walxaha is-dhaafsiga fure duullimaadiisa koowaad isagoo aan soo bandhigin shahaado. Tabarucaadkani waa mid dadweyne xagga naqshadda, sababtoo ah serverku wuu u baahan yahay si uu u soo saaro sirta la wadaago. Shahaadada macmiilku waa farriin kale, waxaana la diraa kaliya ka dib marka serverku mid codsado. Waxay qaadaysaa aqoonsi uu serverku haddana xaqiijiyo, xaqiijinta labada dhinacna waa go'aan serverku gaaro, maaha sifo ay soo jeediso xidhmada sirta. Aqoonsiga codsigu waa shay saddexaad oo gebi ahaan: foomka gelitaanka, calaamadda qaadaha, cookie. Midna kama muuqdo gacan-qaadka, dhammaantoodna way ka badbaadaan isbeddelka wadada shabakadda.

Afarta saf waa madax-bannaan. Isku-xirku wuxuu yeelan karaa safka koowaad iyo labaad, wuxuu ka boodi karaa saddexaad, oo weli wuxuu qaadan karaa afaraad cinwaanka cookie.

Go'aanso waxa gacan-qaad la qabtay caddayn karo

Kaliya gacan-qaadka, goobjooguhu wuxuu bartaa nooca la wada xaajooday, xidhmada sirta, shahaadada serverka iyo qiimaha is-dhaafsiga fure ee dadweynaha. Taasi waxay ku filan tahay in lagu qaato faraha codsiga macmiilka iyo in la arko serverkee la xiriiray. Waxa aanay bixin waa xaaladda gaarka ah ee loo baahan yahay si isku-xirka loo furo, oo qarsoodigeedu ku tiirsan yahay is-dhaafsiga ku meel gaadhka ah ee aan ku tiirsanayn qaybta dadweynaha. Sidoo kale ma bixiso aqoonsiga akoonka, oo bilowgii ka mid ahaan jiray gacan-qaadka.

Sidaas darteed gabagabada daacadda ah waa cidhiidhi: is-dhaafsigan lama soo bandhigin shahaado macmiil. Maaha in macmiilku aanu dirin wax la xiriiri karo, mana aha haba yaraatee in kulanku aanu qaadan wax aqoonsi ah.

Akhri fariimaha halkii aad akhrin lahayd magaca sirta

Weydii serverka waxa uu codsanayo, halkii aad ka malayn lahayd xidhmada sirta. Gacan-qaad TLS 1.3 oo ka mid ah codsiga shahaadada waa lagu arkaa nuqulka, maqnaanshihiisana sidoo kale waa la arkaa.

openssl s_client -connect app.example.net:443 -tls1_3 -msg < /dev/null 2>&1 | grep -i -E 'key_share|CertificateRequest'

Ka dib ku celi shahaado macmiil oo la habeeyay, oo isbarbardhig. Socodka labaad waa inuu muujiyaa shahaadada oo la dirayo oo la aqbalayo; kan koowaad waa inuusan waxba muujin, waana taas farqiga la taaban karo ee dooddu ku saabsan tahay.

openssl s_client -connect app.example.net:443 -tls1_3 -cert client.pem -key client.key -quiet

Haddii aad uun u baahan tahay kiiska baaritaanka caadiga ah, soo-saarista faahfaahsan ee macmiilka waxay ku filan tahay in la arko nooca borotokoolka, natiijada xaqiijinta iyo haddii shahaado macmiil la soo bandhigay. Server aan waligiis dirin codsi shahaado ma aanu heli karin mid.

Halka dib-u-bilowgu jawaabta beddelo

Dib-u-bilowga TLS 1.3 wuxuu isticmaalaa tikitanka ku xiran xaaladda qarsoon, sidaas darteed isku-xir dambe ayaa dhammaan kara isagoo aan is-dhaafsi buuxa oo shahaadooyin ah yeelan. Taasi waxay yaraysaa waxa goobjoogu arko oo beddelaa waxa nuqulku caddeeyo. Ma abuurto aqoonsi meel aan midna jirin. Kulan dib loo bilaabay weli wuxuu ka tirsan yahay isla kulanka codsiga, cookie kasta ama calaamad kasta oo kulankaas ku jirta waxay ahaanaysaa aqoonsiga muhiimka ah.

Taasi waa sababta dib-u-eegista asturnaanta ee ku hakata "ma jiro shahaado macmiil" ay u seegto qaybta xiisaha leh. Su'aasha la weydiinayo waa dhinamkee baa haysta aqoonsi deggan, maaha farriin kee baa ka maqnaa hal gacan-qaad.

Qor afar sifo, maaha hal xukun

Qor heshiiska fure, xaqiijinta serverka, xaqiijinta macmiilka iyo aqoonsiga codsiga sidii afar saf oo gooni ah, iyadoo caddaynta mid kastaa la socoto. Liiskani wuxuu ka badbaadaa isbeddelka nooca borotokoolka, wuxuuna ka dhigaa doodda asturnaanta mid ay qof kale hubin karo. Ka dib ku dar waxa wadada shabakaddu bijeedo. VPN wuxuu beddelaa cinwaanka isha ee adeeggu arko; ma tirtiro gelitaan, cookie ama faraha aaladda ee codsigu hore u hayo.

Qor nooca la wada xaajooday ee isku-xirka iyo natiijada codsiga shahaadada si wadajir ah, sababtoo ah waa lammaanahaas uu dib-u-eegaha u baahan yahay si uu gabagabadaada u soo saaro isagoo aan lahayn duubis u gaar ah.