Сопствени VPN сертификат није додатни слој шифровања

Инсталирање сопственог сертификата на VPN крајњу тачку изгледа као додавање заштите, јер се сертификати и шифровање свуда појављују заједно. У пракси то мења две ствари: који идентитет крајња тачка представља и ком издаваоцу је њен партнер спреман да верује. Ни једно од тога не обавија ваше податке други пут. Ако је стварна потреба други заштићени канал, потребан вам је други канал са сопственим крајњим тачкама, а не још један сертификат.

Три одвојена посла у руковању TLS 1.3

RFC 8446 раздваја те ствари, и само то раздвајање је цео одговор. Порука Certificate носи ланац сертификата крајње тачке. CertificateVerify доказује поседовање одговарајућег приватног кључа и везује транскрипт руковања. Слој записа штити саобраћај договореним кључевима саобраћаја.

Замените сертификат и прве две ставке се мењају. Заштита записа се не извршава двапут и не постаје јача зато што је издавалац сада приватан.

Шта приватни CA заиста даје

Даје контролисан систем идентитета: ви одлучујете коме се издаје, ви одлучујете које издаваоце партнери прихватају, и можете опозвати по свом распореду. То је заиста корисно када управљате оба краја.

Али доноси и обавезе. Поверење мора свесно да се распоређује, провера партнера мора да остане укључена, а животним циклусом акредитива мора неко да управља. Приватни CA није пречица око ниједне од те три ствари.

Када је други канал прави одговор

Замислите апликацију која отвара проверени HTTPS ка сопственој услузи док њени пакети путују и кроз VPN. Такав дизајн има две границе са потенцијално различитим крајњим тачкама, и тако изгледа други заштићени канал.

Разлика је важна на мрежном пролазу. Ако TLS сесија апликације завршава на VPN пролазу, а не у апликацији, заштита за коју сте мислили да је имате иза тунела није ту. Запишите ко завршава сваки канал пре него што тврдите то својство.

Питајте шта инсталација мења

Захтев за инсталирање сертификата може да значи три различите ствари. Може да промени сопствени идентитет клијента, сидро поверења специфично за апликацију или поверење на нивоу платформе за све на уређају. То није исто и само последње утиче на неповезани софтвер.

Питајте које је од три намењено, па питајте шта треба да постигне. Ако је одговор више шифровања, предлог је усмерен на погрешан механизам.

Запишите границе

За сваки канал запишите крајње тачке, идентитет који свака страна проверава и шта оператер у средини може да види. Затим запишите понашање при квару: шта се дешава када провера не успе и шта када канал буде одбијен.

Два реда на једној страници обично реше расправу коју ротација сертификата не може.

Одлучите са три питања

Да ли је проблем у томе кога крајња тачка тврди да јесте, или у томе шта се дешава са подацима? Треба ли заштита да се настави иза VPN пролаза до конкретне апликације? И можете ли да наведете две крајње тачке које би завршиле други канал?

Ако је прво питање право, поправите идентитет и поверење. Ако је друго или треће, дизајнирајте други канал и оставите сертификат где му је место.