Özel VPN sertifikası ek bir şifreleme katmanı değildir

Bir VPN uç noktasına özel sertifika kurmak koruma eklemek gibi hissettirir, çünkü sertifikalar ve şifreleme her yerde birlikte görünür. Pratikte iki şeyi değiştirir: uç noktanın hangi kimliği sunduğunu ve eşinin hangi verene güvenmeye istekli olduğunu. Bunların hiçbiri verinizi ikinci kez sarmaz. Gerçek gereksinim ikinci bir korumalı kanalsa, kendi uç noktaları olan ikinci bir kanala ihtiyacınız var, bir sertifikaya daha değil.

TLS 1.3 el sıkışmasında üç ayrı iş

RFC 8446 bunları ayrı tutar ve bu ayrım cevabın tamamıdır. Certificate mesajı uç noktanın sertifika zincirini taşır. CertificateVerify eşleşen özel anahtarın sahipliğini kanıtlar ve el sıkışma dökümünü bağlar. Kayıt katmanı, anlaşılan trafik anahtarlarıyla trafiği korur.

Sertifikayı değiştirin, ilk iki madde değişir. Kayıt koruması iki kez çalışmaz ve veren artık özel olduğu için güçlenmez.

Özel bir CA gerçekte ne satın alır

Kontrollü bir kimlik sistemi satın alır: kime verileceğine siz karar verirsiniz, eşlerin hangi verenleri kabul edeceğine siz karar verirsiniz ve kendi takviminize göre geri çekebilirsiniz. İki ucu da siz yönetiyorsanız bu gerçekten yararlıdır.

Ancak yükümlülükler de getirir. Güven bilinçli olarak dağıtılmalı, eş doğrulaması açık kalmalı ve kimlik bilgilerinin yaşam döngüsünün bir sahibi olmalıdır. Özel bir CA bu üçünden hiçbirini atlamanın kısa yolu değildir.

İkinci kanal ne zaman doğru cevaptır

Bir uygulamanın kendi hizmetine doğrulanmış HTTPS açtığını, paketlerinin de VPN üzerinden geçtiğini varsayalım. Bu tasarımın uç noktaları farklı olabilecek iki sınırı vardır ve ikinci korumalı kanal tam olarak böyle görünür.

Bu ayrım ağ geçidinde önemlidir. Uygulamanın TLS oturumu uygulamada değil de VPN ağ geçidinde bitiyorsa, tünelin ötesinde olduğunu düşündüğünüz koruma orada yoktur. Bu özelliği iddia etmeden önce her kanalı kimin bitirdiğini yazın.

Kurulumun neyi değiştirdiğini sorun

Sertifika kurma isteği üç farklı anlama gelebilir. İstemcinin kendi kimliğini, uygulamaya özgü bir güven çapasını ya da cihazdaki her şey için platform genelinde güveni değiştirebilir. Bunlar eşdeğer değildir ve yalnızca sonuncusu ilgisiz yazılımı etkiler.

Üçünden hangisinin amaçlandığını, sonra neyi başarması gerektiğini sorun. Yanıt daha fazla şifreleme ise öneri yanlış mekanizmaya yönelmiştir.

Sınırları yazın

Her kanal için uç noktaları, her tarafın doğruladığı kimliği ve aradaki operatörün görebildiklerini kaydedin. Ardından hata davranışını kaydedin: doğrulama başarısız olduğunda ne olur ve kanal reddedildiğinde ne olur.

Bir sayfadaki iki satır, sertifika döndürmenin çözemeyeceği bir tartışmayı genellikle çözer.

Üç soruyla karar verin

Sorun uç noktanın kim olduğunu iddia etmesi mi, yoksa veriye ne olduğu mu? Koruma VPN ağ geçidinin ötesinde belirli bir uygulamaya kadar sürmeli mi? Ve ikinci bir kanalı bitirecek iki uç noktayı adlandırabilir misiniz?

İlk soru gerçek olansa kimliği ve güveni düzeltin. İkinci ya da üçüncüyse ikinci kanalı tasarlayın ve sertifikayı yerinde bırakın.