WSS சுரங்கப்பாதையின் மறையாக்கம் ஆப்பில் அல்ல, TLS முடிப்பியில் நிற்கிறது

பாதுகாப்பான WebSocket உள்ளே எடுத்துச் செல்லப்படும் சுரங்கப்பாதையில் கிளையண்ட் உள்ளே வைத்த அளவே மறையாக்கம் இருக்கும், அதற்கு மேல் இல்லை. wss:// திட்டம் TLS ஒரு ஹாப்பில் ஒரு இணைப்பைப் பாதுகாக்கிறது என்கிறது. WebSocket செய்திகளுக்குள் உள்ள பைட்டுகள் தனித்தனியாகப் பாதுகாக்கப்படுகிறதா என்பதைப் பற்றி அது எதுவும் சொல்லவில்லை, நடுவில் ஏதாவது TLS ஐ முடிக்கும்போது உங்கள் போக்குவரத்தை யார் படிக்கலாம் என்பதை இந்த வேறுபாடே தீர்மானிக்கிறது.

ஒன்று போலத் தோன்றும் இரு அடுக்குகள்

பாதுகாப்பான WebSocket என்பது TLS ஆகும், அதன் மேல் WebSocket கைக்குலுக்கல் நடைபெறுகிறது, RFC 6455 அதன் இணைப்பு மற்றும் பாதுகாப்புப் பிரிவுகளில் விவரிப்பது போல. TLS அடுக்கு சேவையகத்தை அங்கீகரித்து ஓட்டத்தை மறையாக்குகிறது, பின்னர் WebSocket அடுக்கு பயன்பாடு அனுப்ப முடிவெடுப்பதை சட்டகமாக்குகிறது.

இவை இரண்டு சுயாதீன முடிவுகள், முழுப் பாதையிலும் ஒரே பூட்டை வரையும் வரைபடம் இரண்டாவதை மறைக்கிறது. TLS இணைப்பை யார் முடிக்கிறார் என்று கேளுங்கள். பின்னர் கிளையண்ட் ஒவ்வொரு செய்திக்குள்ளும் என்ன வைக்கிறது என்று கேளுங்கள். வரிசைப்படுத்தலைப் பற்றிய மற்ற அனைத்தும் இந்த இரண்டு பதில்களிலிருந்து வருகிறது.

வடிவமைப்பு A: போக்குவரத்தே ஒரே மறையாக்கம்

எளிமையான வடிவமைப்பில், கிளையண்ட் மூல IP பொதிகளை எடுத்து WebSocket செய்திகளில் சுற்றுகிறது. உள்ளே எதுவும் மறையாக்கப்படவில்லை, எனவே TLS அமர்வை வைத்திருக்கும் பகுதி தெளிவான உரை பேலோடுகளைப் படிக்கிறது. அந்தப் பகுதி உங்கள் சொந்த சுரங்கப்பாதை சேவையகமாக இருந்தால், இதுவே நோக்கமான முடிவுப்புள்ளி, வடிவமைப்பு ஒத்திசைவானது, ஏனெனில் சேவையகம் எப்படியும் போக்குவரத்தைப் பார்த்திருக்கும்.

பாதையில் ஒரு ஆய்வு ப்ராக்ஸி அமர்ந்து, கிளையண்ட் நம்பும் சான்றிதழுடன் TLS ஐ முடிக்கும்போது இது வேறு ஏற்பாடாகிறது. அந்த ப்ராக்ஸி இப்போது சேவையகம் வைத்திருக்கும் அதே தெளிவான உரையை வைத்திருக்கிறது, எவ்வளவு WebSocket சட்டகமும் அதை மாற்றாது. கிளையண்டின் நம்பிக்கைக் கிடங்கு இந்த முடிவைச் சுரங்கப்பாதை திறப்பதற்கு மிக முன்பே எடுத்துவிட்டது, ஏனெனில் அது அந்தப் பெயருக்கு அந்தச் சான்றிதழை ஏற்கத் தேர்ந்தெடுத்தது. ப்ராக்ஸி கோரப்பட்ட புரவலனையும் ஒவ்வொரு செய்தியின் அளவையும் பார்க்கிறது, இது மேலும் எதையும் மறைகுறியாக்காமல் நிறைய செயல்பாட்டின் கைரேகையை எடுக்கப் போதுமானது.

வடிவமைப்பு B: பேலோடு தன் சொந்த விசைகளைக் கொண்டு செல்கிறது

இரண்டாவது வடிவமைப்பில், கிளையண்ட் தன் பொதிகளைச் சொந்த சக அடையாளம் மற்றும் விசைப் பரிமாற்றம் கொண்ட VPN நெறிமுறையால் மறையாக்கி அங்கீகரிக்கிறது, பின்னர் முடிவை WebSocket செய்திகளுக்குள் எடுத்துச் செல்கிறது. இங்கே வெளிப்புற TLS ஐ முடிப்பது போக்குவரத்தை அல்ல, மறையாக்கப்பட்ட உரையை வெளிப்படுத்துகிறது. ப்ராக்ஸி செய்தி அளவுகளையும் நேரத்தையும் பார்க்கலாம், பேலோடில் வேறு எதுவும் இல்லை. இது மிகச் சிறிய வெளிப்பாடு, இருந்தாலும் இது மதிப்பாய்வில் பெயரிடத் தகுந்த மெட்டாதரவு, ஒதுக்கித் தள்ள வேண்டியது அல்ல.

உள் நெறிமுறையின் சொந்த முடிவுப்புள்ளிகள் இன்னும் தெளிவான உரையைப் பார்க்கின்றன, இதுவே ஏற்பாட்டின் நோக்கம் மற்றும் அதன் எல்லையும். முடிவுப்புள்ளியில் உள்ள பகுதி மறையாக்கத்திற்கு முன் அல்லது மறைகுறி நீக்கத்திற்குப் பின் தரவைப் படிக்க அதிகாரம் பெற்றிருந்தால், கூடுதல் அடுக்கு அதைக் கட்டுப்படுத்தாது. விசைகளும் அவற்றைக் கையாளும் மென்பொருளும் முக்கியமான எல்லையாகவே இருக்கின்றன.

VPN லேபல், பரிச்சயமான கிளையண்ட் சின்னம் அல்லது சந்தைப்படுத்தல் பக்கம் இந்த வடிவமைப்பு இருப்பதற்கான சான்று அல்ல. பேலோடு வடிவமைப்பைப் படிப்பது சான்று.

தெளிவான உரை உண்மையில் எங்கே தோன்றுகிறது என்பதைக் கண்டறியுங்கள்

URL திட்டம் உங்களுக்கு ஒரு உண்மையைத் தருகிறது, மீதியை இடைமுகங்களிலிருந்து பெறுங்கள். கீழேயுள்ள சோதனைகளை வரிசையாக இயக்குங்கள், ஏனெனில் ஒவ்வொன்றும் அடுத்ததைக் குறுக்குகிறது:

ss -tnp | grep -E ':(443|8443)\b'
ip -br link show type tun
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief
tcpdump -ni tun0 -c 5 -X

வெளிப்புற இணைப்பிலிருந்து தொடங்குங்கள். TLS துறைமுகத்திற்கு ஒரு நீண்டகால TCP அமர்வு இருப்பதே WebSocket காவியின் தோற்றம், மேலும் தொடர்பில்லாத புரவலனுக்கு இரண்டாவது அமர்வு ஆழமாகப் பார்க்கும் முன் விளக்கத்திற்கு உரியது. பின்னர் கிளையண்டில் சுரங்கப்பாதை இடைமுகத்தைக் கண்டறியுங்கள், ஏனெனில் tun அல்லது tap சாதனம் கிளையண்ட் ஒரு பயன்பாட்டு ஓட்டத்தைப் ப்ராக்ஸி செய்வதற்குப் பதிலாக IP பொதிகளைக் கையாள்கிறது என்பதைக் கூறுகிறது.

சுரங்கப்பாதை இடைமுகத்தில் பிடிப்பு பொதுவாக பேலோடு கேள்வியைத் தீர்க்கிறது. அங்கு படிக்கக்கூடிய தலைப்புகள் உள் பொதிகள் ஒருபோதும் தனியாக மறையாக்கப்படவில்லை என்பதைக் குறிக்கின்றன, அதிக என்ட்ரோபி பேலோடுகள் மறையாக்கப்பட்டன என்பதைக் குறிக்கின்றன. வெளிப்புற இடைமுகத்திலும் பிடிப்பை மீண்டும் செய்து இரண்டையும் ஒப்பிடுங்கள்: இரண்டும் சீரற்றதாகத் தோன்றினால், உள் அடுக்கு வெளிப்புற அடுக்கு மீளச் செய்ய முடியாத வேலையைச் செய்கிறது.

நீங்கள் உண்மையில் வழங்கிய நம்பிக்கையை மதிப்பாய்வு செய்யுங்கள்

நிறுவப்பட்ட நிறுவன மூலச் சான்றிதழ் கிளையண்டின் நம்பிக்கைக் கிடங்கைப் பற்றிய உண்மை, எந்த ப்ராக்ஸியும் என்ன பதிவு செய்கிறது அல்லது ஆய்வு செய்கிறது என்பதற்கான அறிக்கை அல்ல. CA இருப்பதிலிருந்து நடத்தையை ஊகிப்பதற்குப் பதிலாக பயன்படுத்தப்பட்ட கொள்கையையும் உண்மையான இணைப்புப் பாதையையும் நிறுவுங்கள்.

நிர்வகிக்கப்படும் சாதனங்களில், எந்தப் பகுதி TLS ஐ முடிக்கிறது, கிளையண்ட் பின்னப்பட்ட சான்றிதழையா பொது சான்றிதழையா சரிபார்க்கிறது, பேலோடு வடிவமைப்பு என்ன என்று நிர்வாகியிடம் கேளுங்கள். அந்த மூன்று பதில்கள் பின்னர் நீங்கள் பாதுகாக்கக்கூடிய கண்டுபிடிப்பைத் தருகின்றன.

முடிவைத் தீர்ப்பாக அல்ல, எல்லையாக எழுதுங்கள். "TLS ஆய்வு ப்ராக்ஸியில் முடிகிறது, உள் பேலோடு முடிவுப்புள்ளிகள் மட்டுமே வைத்திருக்கும் விசைகளால் தனியாக மறையாக்கப்பட்டுள்ளது" என்பது சரிபார்க்கக்கூடிய கூற்று, விற்பனையாளர் மாறினாலும் நிலைத்திருக்கும். "WebSockets பாதுகாப்பானவை" நிலைத்திருக்காது.