Ang pasadyang sertipiko ng VPN ay hindi karagdagang antas ng pag-encrypt

Ang pag-install ng pasadyang sertipiko sa isang endpoint ng VPN ay parang nagdaragdag ng proteksyon, dahil ang mga sertipiko at pag-encrypt ay sabay na lumilitaw saanman. Sa pagsasagawa, dalawang bagay ang binabago nito: kung anong pagkakakilanlan ang ipinapakita ng endpoint, at kung aling issuer ang handang pagkatiwalaan ng kapareha nito. Wala sa dalawang iyon ang bumabalot muli sa iyong data. Kung ang tunay na pangangailangan ay pangalawang protektadong channel, kailangan mo ng pangalawang channel na may sariling mga endpoint, hindi isa pang sertipiko.

Tatlong magkakahiwalay na gawain sa handshake ng TLS 1.3

RFC 8446 ang naghihiwalay sa mga ito, at ang paghihiwalay na iyon ang buong sagot. Ang mensaheng Certificate ay nagdadala ng kadena ng sertipiko ng endpoint. Ang CertificateVerify ay nagpapatunay ng pagmamay-ari ng katumbas na pribadong susi at nagbibigkis sa transcript ng handshake. Ang antas ng record ay nagpoprotekta sa trapiko gamit ang mga susi ng trapikong napagkasunduan.

Palitan ang sertipiko at nagbabago ang unang dalawang bagay. Ang proteksyon ng record ay hindi tumatakbo nang dalawang beses, at hindi ito lumalakas dahil pribado na ngayon ang issuer.

Ano ang talagang binibili ng isang pribadong CA

Bumibili ito ng kontroladong sistema ng pagkakakilanlan: ikaw ang nagpapasya kung kanino ibinibigay, ikaw ang nagpapasya kung aling mga issuer ang tinatanggap ng mga kapareha, at maaari kang magbawi ayon sa sarili mong iskedyul. Talagang kapaki-pakinabang ito kapag pinapatakbo mo ang dalawang dulo.

Nagdadala rin ito ng mga obligasyon. Kailangang sadyang ipamahagi ang tiwala, kailangang manatiling naka-on ang beripikasyon ng kapareha, at kailangang may may-ari ang ikot ng buhay ng mga kredensyal. Ang pribadong CA ay hindi shortcut sa paligid ng alinman sa tatlong iyon.

Kailan ang pangalawang channel ang tamang sagot

Ipagpalagay na ang isang aplikasyon ay nagbubukas ng beripikadong HTTPS patungo sa sarili nitong serbisyo habang dumadaan din ang mga pakete nito sa VPN. Ang disenyong iyon ay may dalawang hangganan na maaaring magkaiba ang mga endpoint, at ganoon ang hitsura ng pangalawang protektadong channel.

Mahalaga ang pagkakaiba sa gateway. Kung ang sesyon ng TLS ng aplikasyon ay nagtatapos sa gateway ng VPN sa halip na sa aplikasyon, ang proteksyong inaakala mong mayroon ka sa kabila ng tunnel ay wala roon. Isulat kung sino ang nagtatapos sa bawat channel bago mo angkinin ang katangiang iyon.

Itanong kung ano ang binabago ng pag-install

Ang kahilingang mag-install ng sertipiko ay maaaring mangahulugan ng tatlong magkaibang bagay. Maaari nitong baguhin ang sariling pagkakakilanlan ng kliyente, isang anchor ng tiwala na partikular sa aplikasyon, o tiwala sa antas ng platform para sa lahat ng nasa device. Hindi ito magkatumbas, at ang huli lamang ang nakakaapekto sa walang kaugnayang software.

Itanong kung alin sa tatlo ang nilalayon, pagkatapos ay itanong kung ano ang dapat nitong makamit. Kung ang sagot ay mas maraming pag-encrypt, ang panukala ay nakatutok sa maling mekanismo.

Isulat ang mga hangganan

Para sa bawat channel, itala ang mga endpoint, ang pagkakakilanlang beripikado ng bawat panig, at ang nakikita ng operator sa gitna. Pagkatapos ay itala ang pag-uugali kapag nabigo: ano ang nangyayari kapag nabigo ang beripikasyon, at ano ang nangyayari kapag tinanggihan ang channel.

Dalawang linya sa isang pahina ay karaniwang nagtatapos sa isang pagtatalong hindi kayang tapusin ng pag-ikot ng sertipiko.

Magpasya sa tatlong tanong

Ang problema ba ay kung sino ang sinasabi ng endpoint na siya, o kung ano ang nangyayari sa data? Kailangan bang magpatuloy ang proteksyon sa kabila ng gateway ng VPN hanggang sa isang partikular na aplikasyon? At mababanggit mo ba ang dalawang endpoint na tatapos sa pangalawang channel?

Kung ang unang tanong ang tunay, ayusin ang pagkakakilanlan at tiwala. Kung ang pangalawa o pangatlo, idisenyo ang pangalawang channel at hayaang manatili ang sertipiko kung saan ito nararapat.