Field device, TLS at VPN: aling hangganan ang nagpoprotekta sa ano

Nagbubukas ng koneksyon ang isang field device sa isang serbisyo at dumarating ang tanong sa disenyo bilang pagpili sa pagitan ng VPN at TLS. Mali ang balangkas na iyon, dahil magkaiba ang trabaho ng dalawa. Awtentikado ng TLS ang dulo ng aplikasyon at pinoprotektahan ang usapan; samantalang kinokontrol ng VPN ang maabot at pinoprotektahan ang mga packet sa pagitan ng mga kapares. Sundan ang koneksyon mula sa device patungo sa labas at may sariling sagot ang bawat antas.

Kung hindi mo masabi kung saan nagtatapos ang TLS, hindi mo rin masabi kung ano talaga ang pinagkakatiwalaan ng aplikasyon.

Hanapin kung saan talaga nagtatapos ang TLS

Magsimula sa aplikasyon ng device at sundan ang koneksyon hanggang sa prosesong nagtatapos ng handshake. Kung tatapusin ng proxy ang TLS bago ang mainframe, nagtatapos ang protektadong landas sa proxy. Ang natitirang paglukso ay nangangailangan ng sarili nitong dokumentadong proteksyon.

Ang tawagin itong dulo-sa-dulo batay sa palagay ay siyang paraan ng pag-apruba ng pagsusuri ng disenyo sa isang puwang. Iguhit ang dulo at ang angkla ng tiwala sa isang diagram.

Dinadala ng TLS ang mga kahilingan at tugon sa dalawang direksyon, kaya ang dalawang-direksyong aplikasyon ay hindi likas na nangangailangan ng VPN kapalit ng TLS. Totoo rin ang kabaligtaran: maaaring kailanganin pa rin ng deployment ang VPN para sa iba pang protokol sa parehong device.

Magpasya kung ano ang dapat awtentikahin ng device

I-configure ang pagpapatunay ng pagkakakilanlan ng server at ang mga nilalayong ugat ng tiwala. Kung kailangang patunayan ng bawat device ang sarili nitong pagkakakilanlan, pumili ng sinusuportahang modelo ng awtentikasyon ng kliyente at magrehistro ng hiwalay na kredensyal bawat device. Ang pinagsasaluhang kredensyal ay ginagawang problema ng buong fleet ang isang nakaw na device.

Planuhin ang proteksyon ng susi, pag-renew, pagbawi at pagpapanumbalik bago ipadala. Ang device sa field na hindi na maipaparehistro pagkatapos ng nabigong pag-renew ay nagiging pagbisita sa lugar, at hinuhubog ng gastos na iyon ang disenyo nang higit sa handshake.

Gumamit ng sinusuportahang library at kasalukuyang gabay. Makabagong gabay sa deployment ng TLS nagbabawal sa pagkakasundo ng TLS 1.0 at 1.1, at ang pagtukoy sa TLSv1 sa lumang tala ng disenyo ay hindi kinakailangan.

Isara kapag nabigo ang handshake

Ang nabigong handshake o nabigong pagsusuri ng pagkakakilanlan ay hindi dapat tahimik na bumalik sa orihinal na protokol ng malinaw na teksto. Ang pagbalik na iyon ang kahinaang dapat isara ng gawain sa TLS. Gawing nakikita ang kabiguan sa operator ng device at sa serbisyo, at kailanganin ang protektadong channel para sa mga sensitibong operasyon. Pagkatapos ay hayaan ang awtorisasyon ng aplikasyon na magpasya kung ano ang maaaring gawin ng awtentikadong device.

Tukuyin ang habang-buhay ng koneksyon, pag-frame, mga timeout at pag-uugali ng muling pagsubok bilang bahagi ng kontrata. Hindi ginagawang ligtas ng encryption ang paulit-ulit na utos, at ang muling pagsubok pagkatapos ng hindi tiyak na naunang operasyon ay nangangailangan ng sagot sa antas ng aplikasyon.

Isulat ang tuntunin ng pagbalik. “Muling kumokonekta ito nang walang TLS kung nabigo ang handshake” ay desisyon sa disenyo, at dapat itong tahasan.

Bigyan ang VPN ng trabahong kaya lamang nitong gawin

Maaaring limitahan ng VPN ang maabot at protektahan ang mga packet hanggang sa sarili nitong kapares. Pinoprotektahan ng TLS ang ugnayan ng aplikasyon sa piniling dulo. Maaaring magkaiba ang kanilang mga dulo, at wala sa dalawa ang nagsisiguro sa nakaimbak na datos ng dulo o sa administratibong access.

Sukatin ang gastos ng handshake, tuluy-tuloy na pagmemensahe at muling pagkonekta sa aktwal na device sa halip na ipagpalagay na mas mabilis ang isang mekanismo. Pagkatapos ay subukan ang apat na kaso na mahalaga: ang nilalayong palitan, maling pagkakakilanlan ng server, hindi awtorisadong device, at muling pagkonekta pagkatapos ng hindi tiyak na operasyon. Itala ang resulta para sa bawat kaso, kasama ang error na ipinapakita ng device.