HTTPS Basic அங்கீகாரம் எதிராக IPsec: ஒவ்வொன்றும் எதைப் பாதுகாக்கிறது

டெவலப்பர் கருவிகளைத் திறந்து, உள் பயன்பாட்டை ஏற்றி, பக்கம் வரையப்படும் முன் ஒரு கோரிக்கை நான்கு சோதனைச் சாவடிகளைக் கடப்பதைப் பாருங்கள். முதலில் பெயர் தீர்க்கப்படுகிறது, பிறகு TCP இணைப்பு திறக்கப்படுகிறது, அதன் பிறகு TLS கைகுலுக்கல் சேவையகம் யார் என்பதை உறுதிப்படுத்துகிறது, அதன் பிறகுதான் பயன்பாடு நீங்கள் யார் என்று கேட்கிறது. இவற்றைத் தனித்தனி நிகழ்வுகளாகக் கருதுங்கள், ஏனெனில் ஒவ்வொன்றும் வெவ்வேறு சான்றுகளுடன் தோல்வியடைகிறது, ஒவ்வொன்றும் வெவ்வேறு குழுவுக்குச் சொந்தமானது. சம்பவங்களில் அதிக குழப்பம் 401-ஐ சுரங்கப்பாதை பிரச்சினையாகப் படிப்பதிலிருந்தோ, சுரங்கப்பாதை பிரச்சினையை மோசமான கடவுச்சொல்லாகப் படிப்பதிலிருந்தோ வருகிறது.

முதல் சோதனைச் சாவடி: நீங்கள் பேச நினைத்த சேவையகம் இதுவா

எந்த நற்சான்றும் அனுப்பப்படும் முன் TLS கைகுலுக்கல் அந்தக் கேள்விக்குப் பதிலளிக்கிறது. உங்கள் கிளையண்ட் நம்பிக்கைக் கிடங்குக்கு எதிராக சான்றிதழ் சங்கிலியைச் சரிபார்த்து, சான்றிதழில் உள்ள பெயர் நீங்கள் தட்டச்சு செய்த ஹோஸ்டுடன் பொருந்துகிறதா எனப் பார்க்கிறது. அது தோல்வியடைந்தால், உலாவி சான்றிதழ் பிழையைக் காட்டும், Authorization தலைப்பை ஒருபோதும் அனுப்பாது. எனவே கடவுச்சொல் கேட்பது சேவையகம் உண்மையானது என்பதற்கான சான்று அல்ல; அது பயன்பாடு பதிலளித்தது என்பதற்கான சான்று.

இங்கே முதல் எல்லை தோன்றுகிறது. TLS அது முடியும் இடம் வரை இணைப்பைப் பாதுகாக்கிறது. சுமை சமன்படுத்தி TLS-ஐ முடித்து பயன்பாட்டுக்கு வெறும் HTTP-ஐ அனுப்பினால், மறையாக்கப்பட்ட பகுதி சமன்படுத்தியில் முடிகிறது, நற்சான்றுகள் அந்த முதல் கட்டத்தில் மட்டுமே பாதுகாக்கப்படுகின்றன.

இரண்டாவது சோதனைச் சாவடி: 401 பரிமாற்றத்தில் உண்மையில் என்ன பயணிக்கிறது

HTTP Basic அங்கீகாரம் பயனர் அடையாளத்தையும் கடவுச்சொல்லையும் ஒரு தலைப்பில் அனுப்புகிறது, RFC 7617 இல் விவரித்தபடி Base64-ஆல் குறியாக்கப்பட்டு. Authorization: Basic dXNlcjpwYXNz அதன் வடிவம்; கோரிக்கையைப் படிக்கக்கூடிய எவரும் குறியாக்கத்தை மீளச் செய்யலாம், எனவே முழு இரகசியத்தன்மையும் கீழேயுள்ள போக்குவரத்திலிருந்து வருகிறது. curl -v WWW-Authenticate: Basic சவாலையும் நீங்கள் திருப்பி அனுப்பும் தலைப்பையும் காட்டுகிறது.

அந்தத் தலைப்பு யார் கேட்கிறார்கள் என்பதைப் பயன்பாட்டுக்குச் சொல்கிறது. யார் இணைக்கலாம் என்பதை வலையமைப்புக்குச் சொல்லாது, அதுவே எதையும் மறையாக்காது. பயன்பாடு இன்னும் நற்சான்றை ஒரு கிடங்குக்கு எதிராகச் சரிபார்த்து அந்தக் கணக்கு என்ன செய்யலாம் என்பதை முடிவு செய்ய வேண்டும், அதுவே அதிகாரம் வழங்கல், அங்கீகாரத்துக்குப் பிறகு நடக்கிறது.

அந்தப் பாதையில் IPsec சுரங்கப்பாதை எங்கே அமைகிறது

இப்போது உலாவியிலிருந்து வெளிப்புறமாக நடவுங்கள். நுழைவாயிலிருந்து நுழைவாயிலுக்கான IPsec சுரங்கப்பாதை இரண்டு பாதுகாப்பு நுழைவாயில்களுக்கு இடையே தேர்ந்தெடுத்த போக்குவரத்தைப் பாதுகாக்கிறது, உங்கள் மடிக்கணினிக்கும் பயன்பாட்டு செயல்முறைக்கும் இடையே அல்ல. சுரங்கப்பாதை பயன்முறை ESP அசல் பொதியைச் சுற்றி, நுழைவாயில்கள் அதை மறையாக்கி அங்கீகரிக்கின்றன, உள் முகவரிகள் தக்கவைக்கப்படுவதால் எதிர்ப்புறம் கோரிக்கையைப் பயன்பாட்டுக்கு வழிமாற்ற முடியும்.

தேர்வுதான் மக்களை இடறச் செய்யும் பகுதி. கொள்கை அடிப்படையிலான சுரங்கப்பாதைகள் போக்குவரத்து தேர்விகளைப் பயன்படுத்துகின்றன, பெரும்பாலும் அணுகல் கட்டுப்பாட்டு பட்டியல்களாக வெளிப்படுத்தப்படுகின்றன, எந்தப் பொதிகள் சுரங்கப்பாதைக்குள் நுழையும் என்பதை முடிவு செய்ய. பாதை அடிப்படையிலான சுரங்கப்பாதைகள் அதற்குப் பதிலாக மெய்நிகர் இடைமுகத்தையும் வழிமாற்றல் அட்டவணையையும் பயன்படுத்துகின்றன. Linux இல் ip xfrm policy தேர்விகளைக் காட்டுகிறது, ip xfrm state நிறுவப்பட்ட பாதுகாப்பு இணைப்புகளைக் காட்டுகிறது; தீர்வரிசை சாதனத்தில் அதற்கு இணையானது சுரங்கப்பாதையின் SA அட்டவணையும் ஒரு பொதி தடமறிவியும்.

விளைவை நேரடியாகச் சொல்வது மதிப்புள்ளது. ஒரு பொதி முழுமையாக ஆரோக்கியமான சுரங்கப்பாதைக்குள் அமர்ந்திருந்தும், பயன்பாடு நிராகரிக்கும் HTTPS கோரிக்கையைச் சுமக்கலாம், வழிமாற்றல் அனுமதித்தால் சரியான நற்சான்றுகள் சுரங்கப்பாதை இல்லாத பாதையிலும் வந்து சேரலாம்.

தோல்வியை அதைப் புகாரளித்த அடுக்கில் படியுங்கள்

401 என்றால் பயன்பாடு நற்சான்றை ஏற்கவில்லை. 403 என்றால் அது அடையாளத்தை ஏற்று செயல்பாட்டை மறுத்தது. TLS பிழை என்றால் கிளையண்ட் சேவையகத்தை ஏற்கவில்லை. பாதை இல்லாதது அல்லது கொள்கை பொருந்தாதது என்றால் பொதி எதிர் நுழைவாயிலை ஒருபோதும் அடையவில்லை. நான்கு வெவ்வேறு தோல்விகள், நான்கு வெவ்வேறு உரிமையாளர்கள், அவற்றில் எதுவும் உள்நுழைவுப் படிவத்தை உற்றுப் பார்ப்பதால் கண்டறியப்படுவதில்லை.

ஒவ்வொரு அடுக்கும் தயாரிக்கும் சான்றுகளைப் பயன்படுத்துங்கள்: நிலை மற்றும் தலைப்புகளுக்கு உலாவியின் வலையமைப்பு பலகம், சான்றிதழ் சங்கிலிக்கு openssl s_client -connect host:443, சுரங்கப்பாதை போக்குவரத்துக்கு நுழைவாயிலின் SA எண்ணிகள் மற்றும் பதிவுகள், கணக்கு முடிவுக்கு பயன்பாட்டுப் பதிவு. இரண்டு அடுக்குகள் ஒரே நேரத்தில் பிழைகளைப் புகாரளித்தால், முதலில் கீழ் அடுக்கைச் சரிசெய்யுங்கள், ஏனெனில் இறந்த சுரங்கப்பாதை அங்கீகாரத் தோல்வியை எளிதாக மறைக்கும், அதன் எதிர்மறையும் உண்மை.

ஒரு சேவையை முதலிலிருந்து இறுதி வரை வரைபடமாக்குங்கள்

நீங்கள் சரிசெய்யும் சேவைக்கு ஐந்து வரிகளை எழுதுங்கள்: சுரங்கப்பாதை எந்தத் தரப்புகளை இணைக்கிறது, தேர்விகள் எந்த உபவலையங்களையும் துறைகளையும் அனுமதிக்கின்றன, TLS எங்கே முடிகிறது, சான்றிதழ் எந்த அடையாளத்தை உறுதிப்படுத்துகிறது, எந்தப் பயன்பாட்டுக் கணக்கும் பங்கும் பயன்படுத்தப்படுகிறது, ஒவ்வொரு அடுக்கும் எங்கே பதிவு செய்கிறது. அவற்றை ஒரு பக்கத்தில் வையுங்கள், ஏனெனில் வரைபடத்தின் நோக்கம் ஒரு அடுக்கின் பொறுப்பு எங்கே முடிந்து அடுத்தது எங்கே தொடங்குகிறது என்பதைக் காட்டுவதே.

பிறகு ஒவ்வொரு அடுக்குக்கும் ஒரு எதிர்மறை நிலையைச் சோதியுங்கள். தவறான கடவுச்சொல்லைப் பயன்படுத்தி 401 கிடைக்கிறதா, நேரம் முடிவதில்லை என்பதை உறுதிப்படுத்துங்கள். தேர்விகளுக்கு வெளியே உள்ள உபவலையத்திலிருந்து இணைந்து பொதி சுரங்கப்பாதையில் செல்லவில்லை என்பதை உறுதிப்படுத்துங்கள். தவறான பெயருக்கான சான்றிதழை முன்வைத்து, நற்சான்றுகளை அனுப்பும் முன் கிளையண்ட் மறுக்கிறது என்பதை உறுதிப்படுத்துங்கள். அந்த மூன்று முடிவுகள் வடிவமைப்பைப் பற்றி எந்தப் பெட்டி வரைபடத்தையும் விட அதிகம் சொல்கின்றன.

இறுதியாக, ஒவ்வொரு உறவுக்கும் எந்தப் பாதுகாப்பு தேவை என்பதை வேண்டுமென்றே முடிவு செய்யுங்கள். TLS மீது Basic அங்கீகாரம் ஒரு நுழைவாயிலுக்குப் பின்னால் உள்ள சிறிய உள் கருவிக்கு நியாயமான பொருத்தம்; இது பயனருக்கு அதிகாரம் வழங்கலுக்கோ TLS முடிவுப்புள்ளிக்கு அப்பால் போக்குவரத்தைப் பாதுகாப்பதற்கோ மாற்றாகாது. சுரங்கப்பாதை பாதையைப் பாதுகாக்கிறது, சான்றிதழ் கட்டத்தைப் பாதுகாக்கிறது, 401 கணக்கைப் பாதுகாக்கிறது, அவற்றில் கடைசி ஒன்று மட்டுமே நீங்கள் யார் என்பதை அறியும்.