ใบรับรอง VPN แบบกำหนดเองไม่ใช่ชั้นการเข้ารหัสเพิ่มเติม

การติดตั้งใบรับรองแบบกำหนดเองบนปลายทาง VPN รู้สึกเหมือนเพิ่มการป้องกัน เพราะใบรับรองและการเข้ารหัสปรากฏคู่กันทุกที่ ในทางปฏิบัติมันเปลี่ยนสองอย่าง คือตัวตนที่ปลายทางนำเสนอ และผูออกใบรับรองที่คู่ของมันยินดีจะไว้วางใจ ไม่มีสิ่งใดในสองอย่างนี้ห่อข้อมูลของคุณเป็นครั้งที่สอง หากความต้องการจริงคือช่องทางที่ได้รับการป้องกันช่องทางที่สอง คุณต้องมีช่องทางที่สองซึ่งมีปลายทางของตัวเอง ไม่ใช่ใบรับรองอีกใบ

สามงานแยกกันในการจับมือ TLS 1.3

RFC 8446 แยกสิ่งเหล่านี้ไว้ และการแยกนั้นคือคำตอบทั้งหมด ข้อความ Certificate พาลำดับใบรับรองของปลายทาง CertificateVerify พิสูจ์การถือครองกุญแจส่วนตัวที่ตรงกันและผูกบันทึกการจับมือ ชั้นเรคอร์ดปกป้องการรับส่งด้วยกุญการรับส่งที่เจรจาแล้ว

เปลี่ยนใบรับรองแล้วสองข้อแรกจะเปลี่ยน การป้องกันเรคอร์ดไม่ทำงานสองครั้ง และไม่แข็งแรงขึ้นเพียงเพราะผูออกเป็นเอกชนแล้ว

CA แบบเอกชนซื้ออะไรจริง ๆ

มันซื้อระบบตัวตนที่ควบคุมได้ คุณตัดสินใจว่าใครจะได้รับการออกใบรับรอง คุณตัดสินใจว่าคู่จะยอมรับผูออกใด และคุณสามารถเพิกถอนตามกำหนดเวลาของคุณเองได้ สิ่งนี้มีประโยชน์จริง เมื่อคุณดูแลทั้งสองปลาย

แต่มันนำพันธะมาด้วย ความไว้วางใจต้องถูกกระจายอย่างตั้งใจ การตรวจสอบคู่ต้องเปิดอยู่ และวงจรชีวิตของข้อมูลรับรองต้องมีเจ้าของ CA แบบเอกชนไม่ใช่ทางลัดที่จะเลี่ยงข้อใดในสามข้อนี้

เมื่อไรช่องทางที่สองคือคำตอบที่ถูก

สมมติว่าแอปพลิเคชันเปิด HTTPS ที่ตรวจสอบแล้วไปยังบริการของตัวเอง ขณะที่แพ็กเก็ตของมันก็ผ่าน VPN ด้วย การออกแบบนั้นมีสองขอบเขตที่ปลายทางอาจต่างกัน และนั่นคือหน้าตาของช่องทางที่สองที่ได้รับการป้องกัน

ความแตกต่างนี้สำคัญที่เกตเวย์ หากเซสชัน TLS ของแอปพลิเคชันสิ้นสุดที่เกตเวย์ VPN ไม่ใช่ที่แอปพลิเคชัน การป้องกันที่คุณคิดว่ามีอยูเลยอุโมงค์ไปนั้นไม่มีอยูที่นั่น เขียนว่าอะไรเป็นตัวจบแต่ละช่องทางก่อนอ้างคุณสมบัตินั้น

ถามว่าการติดตั้งเปลี่ยนอะไร

คำขอติดตั้งใบรับรองอาจหมายถึงสามสิ่งที่แตกต่างกัน มันอาจเปลี่ยนตัวตนของไคลเอนต์เอง หลักยึดความไว้วางใจเฉพาะแอปพลิเคชัน หรือ ความไว้วางใจระดับแพลตฟอร์มสำหรับทุกสิ่งบนอุปกรณ์ สิ่งเหล่านี้ไม่เท่ากัน และมีเพียงอย่างสุดท้ายที่ส่งผลต่อซอฟต์แวร์ที่ไม่เกี่ยวข้อง

ถามว่าต้องการอย่างไรในสามอย่าง แล้วถามว่ามันควรบรลุอะไร หากคำตอบคือการเข้ารหัสมากขึ้น ข้อเสนอนั้นเลงไปที่กลไกที่ผิด

เขียนขอบเขตลงไป

สำหรับแต่ละช่องทาง บันทึกปลายทาง ตัวตนที่แต่ละฝ่ายตรวจสอบ และสิ่งที่ผูปฏิบัติงานกลางสามารถมองเห็นได้ จากนั้นบันทึกพฤติกรรมเมื่อล้มเหลว เกิดอะไรขึ้นเมื่อการตรวจสอบล้มเหลว และเกิดอะไรขึ้นเมื่อช่องทางถูกปฏิเสธ

สองบรรทัดบนหน้าหนึ่งมักยุติข้อโต้แย้งที่การหมุนเวียนใบรับรองยุติไม่ได้

ตัดสินใจด้วยสามคำถาม

ปัญหาคือปลายทางอ้างว่าตัวเองเป็นใคร หรือสิ่งที่เกิดขึ้นกับข้อมูล การป้องกันต้องดำเนินต่อไปเลยเกตเวย์ VPN ไปยังแอปพลิเคชันที่ระบุไหม่ และคุณบอกชื่อปลายทางสองจุดที่จะจบช่องทางที่สองได้หรือไม่

หากคำถามแรกคือคำถามที่แท้ ให้แก้ไขตัวตนและความไว้วางใจ หากเป็นข้อที่สองหรือสาม ให้ออกแบบช่องทางที่สองและปล่อยใบรับรองไว้ที่ของมัน