TLS விசைப் பங்கீடு மற்றும் வாடிக்கையாளர் சான்றிதழ்: எது உள்நுழைகிறது?
விசை ஒப்பந்தத்தை வாடிக்கையாளர் அங்கீகாரம் மற்றும் பயன்பாட்டு அடையாளத்திலிருந்து பிரித்து, இணைப்பு உண்மையில் எதைப் பயன்படுத்தியது என்பதைக் காட்டும் கைக்குலுக்கல் செய்திகளைப் படியுங்கள்.
கைக்குலுக்கலில் பொது விசைப் பரிமாற்ற மதிப்பை எடுத்துச் செல்வது வாடிக்கையாளர் உள்நுழைவது போன்ற அதே நிகழ்வு அல்ல. ஒன்று இணைப்பிற்கான மறையியல் நிலையை நிறுவுகிறது; மற்றொன்று வாடிக்கையாளர் யார் என்பதைக் கூறுகிறது, சேவையகம் கோரி பரிமாற்றம் ஆதரிக்கும்போது மட்டுமே அது நடக்கிறது. முதலாவதை இரண்டாவதாகக் கருதுவது VPN எதை மறைக்கிறது, எதை மறைக்கவில்லை என்பதில் தவறான முடிவுகளுக்கு வழிவகுக்கிறது. செய்திகளைப் படியுங்கள், பிறகு நான்கு பண்புகளில் எதை நீங்கள் உண்மையில் கவனித்தீர்கள் என்பதை முடிவு செய்யுங்கள்.
பதிவில் ஒரே மாதிரி தோன்றும் இரண்டு பொருள்கள்
TLS 1.3 வாடிக்கையாளர் எந்தச் சான்றிதழையும் சமர்ப்பிக்காமல் தனது முதல் பயணத்தில் விசைப் பரிமாற்றப் பொருளை வழங்கலாம். அந்தப் பங்களிப்பு வடிவமைப்பிலேயே பொது, ஏனெனில் பங்கிடப்பட்ட ரகசியத்தைப் பெற சேவையகத்திற்கு அது தேவை. வாடிக்கையாளர் சான்றிதழ் வேறு செய்தி, சேவையகம் ஒன்றைக் கோரிய பிறகே அது அனுப்பப்படுகிறது. அது சேவையகம் பின்னர் சரிபார்க்கும் அடையாளத்தைக் கொண்டுள்ளது, பரஸ்பர அங்கீகாரம் என்பது மறையீட்டுத் தொகுப்பு குறிக்கும் பண்பு அல்ல, சேவையகம் எடுக்கும் முடிவு. பயன்பாட்டு அடையாளம் முற்றிலும் மூன்றாவது விஷயம்: உள்நுழைவுப் படிவம், தாங்கி டோக்கன், குக்கி. அவற்றில் எதுவும் கைக்குலுக்கலில் தோன்றுவதில்லை, எல்லாம் வலையமைப்புப் பாதை மாறினாலும் நீடிக்கின்றன.
| Object in play | What it establishes |
|---|---|
| Key-exchange share | Cryptographic state for this connection |
| Server certificate | Which server the client reached |
| Client certificate | Client authentication, when requested |
| Application session | Account identity inside the application |
நான்கு வரிசைகளும் சுயாதீனமானவை. இணைப்பில் முதல் மற்றும் இரண்டாம் வரிசை இருக்கலாம், மூன்றைத் தவிர்க்கலாம், இருந்தும் நான்கைக் குக்கி தலைப்பில் எடுத்துச் செல்லலாம்.
பிடிபட்ட கைக்குலுக்கல் எதை நிரூபிக்க முடியும் என்பதை முடிவு செய்யுங்கள்
கைக்குலுக்கலில் இருந்து மட்டும் பார்வையாளர் பேச்சுவார்த்தை செய்யப்பட்ட பதிப்பு, மறையீட்டுத் தொகுப்பு, சேவையகத்தின் சான்றிதழ் மற்றும் பொது விசைப் பரிமாற்ற மதிப்புகளை அறிகிறார். வாடிக்கையாளர் செயலாக்கத்தின் கைரேகையை எடுக்கவும் எந்தச் சேவையகத்துடன் தொடர்பு கொள்ளப்பட்டது என்பதைப் பார்க்கவும் அது போதும். அது தராதது இணைப்பை மறைகுறியாக்கத் தேவையான தனிப்பட்ட நிலை; அதன் ரகசியத்தன்மை பொது பங்கின் மீதல்ல, தற்காலிகப் பரிமாற்றத்தின் மீது நிற்கிறது. கணக்கு அடையாளத்தையும் அது தருவதில்லை, அது தொடக்கத்திலேயே கைக்குலுக்கலில் இல்லை.
எனவே நேர்மையான முடிவு குறுகியது: இந்தப் பரிமாற்றத்தில் எந்த வாடிக்கையாளர் சான்றிதழும் சமர்ப்பிக்கப்படவில்லை. வாடிக்கையாளர் இணைக்கக்கூடிய எதையும் அனுப்பவில்லை என்பது அல்ல, அமர்வு எந்த அடையாளங்காட்டியையும் கொண்டிருக்கவில்லை என்பது நிச்சயமாக இல்லை.
மறையீட்டின் பெயரல்ல, செய்திகளைப் படியுங்கள்
மறையீட்டுத் தொகுப்பிலிருந்து ஊகிப்பதற்குப் பதிலாக சேவையகத்திடம் அது என்ன கோருகிறது என்று கேளுங்கள். சான்றிதழ்க் கோரிக்கையை உள்ளடக்கிய TLS 1.3 கைக்குலுக்கல் படியில் தெரிகிறது, அதன் இல்லாமையும் அதே அளவு தெரிகிறது.
openssl s_client -connect app.example.net:443 -tls1_3 -msg < /dev/null 2>&1 | grep -i -E 'key_share|CertificateRequest'பிறகு வாடிக்கையாளர் சான்றிதழை அமைத்து மீண்டும் செய்து ஒப்பிடுங்கள். இரண்டாவது ஓட்டத்தில் சான்றிதழ் அனுப்பப்பட்டு ஏற்கப்படுவதைக் காட்ட வேண்டும்; முதலாவதில் எதுவும் தெரியக்கூடாது, அதுவே விவாதத்தின் உறுதியான வேறுபாடு.
openssl s_client -connect app.example.net:443 -tls1_3 -cert client.pem -key client.key -quietஉங்களுக்கு சாதாரண உலாவல் நிலை மட்டும் தேவைப்பட்டால், நெறிமுறை பதிப்பு, சரிபார்ப்பு முடிவு மற்றும் வாடிக்கையாளர் சான்றிதழ் வழங்கப்பட்டதா என்பதைப் பார்க்க வாடிக்கையாளரின் விரிவான வெளியீடு போதும். ஒருபோதும் சான்றிதழ்க் கோரிக்கையை அனுப்பாத சேவையகத்தால் ஒன்றைப் பெற்றிருக்க முடியாது.
மறுதொடக்கம் பதிலை எங்கு மாற்றுகிறது
TLS 1.3 இல் மறுதொடக்கம் ரகசிய நிலையுடன் இணைக்கப்பட்ட டிக்கெட்டுகளைப் பயன்படுத்துகிறது, எனவே பிந்தைய இணைப்பு முழுமையான சான்றிதழ்ப் பரிமாற்றமின்றி முடியலாம். இது பார்வையாளர் காண்பதைக் குறைத்து படி நிரூபிப்பதை மாற்றுகிறது. இல்லாத இடத்தில் அது அடையாளத்தை உருவாக்காது. மறுதொடங்கிய அமர்வு இன்னும் அதே பயன்பாட்டு அமர்வுக்கே சொந்தம், அந்த அமர்வின் எந்தக் குக்கியோ டோக்கனோ முக்கிய அடையாளங்காட்டியாகவே இருக்கும்.
அதனால்தான் "வாடிக்கையாளர் சான்றிதழ் இல்லை" என்ற இடத்தில் நிற்கும் தனியுரிமை மதிப்பாய்வு சுவாரசியமான பகுதியைத் தவறவிடுகிறது. கேட்க வேண்டிய கேள்வி எந்தத் தரப்பு நிலையான அடையாளங்காட்டியை வைத்திருக்கிறது என்பதே, ஒரு கைக்குலுக்கலில் இருந்து எந்தச் செய்தி இல்லை என்பது அல்ல.
ஒரு தீர்ப்பல்ல, நான்கு பண்புகளைப் பதிவு செய்யுங்கள்
விசை ஒப்பந்தம், சேவையகச் சரிபார்ப்பு, வாடிக்கையாளர் அங்கீகாரம், பயன்பாட்டு அடையாளம் ஆகியவற்றை நான்கு தனித்தனி வரிசைகளாக, ஒவ்வொன்றின் சான்றுடன் எழுதுங்கள். இந்தப் பட்டியல் நெறிமுறை பதிப்பு மாறினாலும் நீடிக்கிறது, தனியுரிமை பற்றிய வாதத்தை மற்றொருவர் சரிபார்க்கக்கூடியதாக்குகிறது. பிறகு வலையமைப்புப் பாதை எதைத் தருகிறது என்பதைச் சேர்க்கவும். VPN ஒரு சேவை காணும் மூல முகவரியை மாற்றுகிறது; பயன்பாட்டிடம் ஏற்கனவே உள்ள உள்நுழைவு, குக்கி அல்லது சாதனக் கைரேகையை அது நீக்குவதில்லை.
இணைப்பின் பேச்சுவார்த்தை பதிப்பையும் சான்றிதழ்க் கோரிக்கையின் முடிவையும் ஒன்றாகப் பதிவு செய்யுங்கள், ஏனெனில் சொந்தப் பதிவு இல்லாமல் உங்கள் முடிவை மீண்டும் உருவாக்க மதிப்பாய்வாளருக்கு அந்த இணைதான் தேவை.