VPN içinde OAuth: hangi bacaklar hâlâ TLS gerektirir

Özel yönlendirme, sunucuya kimin ulaştığına karar verir; OAuth taşıma kuralları ise her iletinin nasıl yol aldığına. Bir tarayıcı, bir yetkilendirme sunucusu, bir token uç noktası ve bir kaynak sunucusu aynı VPN'in arkasında bulunup yine de iletileri farklı bacaklar üzerinden değiş tokuş edebilir. Her bacağın kendi taşıma gereksinimi vardır ve VPN bunların hiçbirini gevşetmez. VPN sınırı ile protokol sınırı farklı çizgilerdir.

Ağın güvenilir olup olmadığını sormayı bırakıp hangi alışverişin hangi sınırı geçtiğini sormaya başlarsanız karar kolaylaşır.

Ağa göre değil, bacağa göre karar verin

Uç noktaları ayrı ayrı yazın: yetkilendirme uç noktası, token uç noktası, yönlendirme URI'si, kaynak sunucu URL'si, TLS sonlandırma noktası ve VPN ağ geçidi. Ardından her isteği hangi tarafın başlattığını ve yanıtın nereye gittiğini işaretleyin.

Bir ağ geçidinde sonlanan VPN, o ağ geçidine kadar olan kesimi şifreler. İstek arkasında düz HTTP olarak devam edebilir ve önceki bir kesim şifrelendiği için o kalan bacak HTTPS olmuş olmaz. Protokolün önemsediği bacak bu devamdır. İlk atlamayı şifrelemek ikinci atlamayı güvenli yapmaz.

Taşıma ayrıca bir hizmet kimliği denetimi taşır. Tarayıcı, uygulama URL'sinin sertifikasını doğrular; VPN bu doğrulamayı tarayıcı adına yapmaz ve doğrulanmamış bir uç noktayı kabul edilebilir hâle getirmez. Sertifika, istemcinin aradığına inandığı uç noktanın adını taşır. Ağ geçidine açılan bir tünel o uç noktanın adını değiştirmez veya onu doğrulamaz.

Yetkilendirme yanıtı ve yönlendirme URI'si

OAuth'un güncel güvenlik en iyi uygulaması, yetkilendirme yanıtlarının şifrelenmemiş bağlantılar üzerinden iletilmesini yasaklar. Bu, yalnızca ilk isteği değil, yetkilendirme kodunu veya token'ları istemciye geri taşıyan yönlendirmeyi de kapsar.

Aynı rehber, belirtilen yerel istemci geri döngü durumu dışında HTTP yönlendirme URI'lerine izin vermez. Bir iç ana bilgisayar adı yeni bir istisna oluşturmaz ve yalnızca VPN içinde çözülen bir DNS adı, şema öyle diyorsa yine bir HTTP URL'sidir. Kayıtlı URI'deki şemayı denetleyin, yalnızca ana bilgisayar adını değil.

Tam HTTPS yönlendirme URI'sini yetkilendirme sunucusuna kaydedin ve istemcide sertifika doğrulamasını açık tutun. HTTPS gereksinimini bastıran bir geliştirme kısayolu, modellediği üretim yapılandırmasından farklı davranan bir akış üretir.

Token uç noktası ve bearer token istekleri

Token isteği, erişim karşılığında değiştirilebilen kimlik bilgileri veya bir kod taşır. Bunu korumasız bir bacak üzerinden göndermek, çevredeki ağ özel olsa bile kaynak sunucusunun sonradan güveneceği malzemeyi açığa çıkarır. İsteği okuyabilen bir vekil sunucu, taşıdığı kimlik bilgisini de okuyabilir.

Bearer token'lı kaynak istekleri için RFC 6750, TLS'i o belirtim için uygulanması ve kullanılması zorunlu sayar. Ofis alt ağını güvenilir ilan etmek, düz metin bearer dağıtımının ihtiyaç duyduğu genel protokol istisnası değildir.

Her iki bacak için belgelenmiş güvenli uç nokta URL'lerini kullanın. Bir kitaplık HTTP token uç noktasını çağırmayı reddederse, bu ret belirtimin çalışmasıdır, atlatılacak bir yapılandırma hatası değil. Bu URL'yi çalışma zamanında türetmek yerine istemci yapılandırmasına kaydedin.

TLS nerede sonlanır ve geriye ne kalır

TLS yetkili bir ön uçta bitiyorsa o ön ucu adlandırın ve ondan uygulamaya giden yolu gözden geçirin. Ön uç, kalan kesimde iletme, güven ve gizlilikten sorumlu olur ve hizmetin desteklenen mimarisi bu düzenlemeyi tanımlamalıdır.

Yolun başka bir yerindeki VPN bu sorumlulukları çözmez. Ayrıca tarayıcının gördüğü uygulama URL'sinin ön ucun sunduğu sertifikayla eşleşip eşleşmediğini de söylemez.

İç dağıtım için sonlandırma noktasını ve sunduğu kimliği kaydedin. TLS'i farklı bir ad için sertifikayla sonlandıran bir ön uç, operatörlerin düzeltmek yerine genellikle bastırdığı bir tarayıcı uyarısı oluşturur.

Yerel geri döngü istisnası dardır

Geri döngü yönlendirme istisnası, istemci ile tarayıcının aynı cihazı paylaştığı, kullanıcının kendi cihazındaki bir geri çağrıyla ilgilidir. Bu düzenleme tek bir cihazdaki geri çağrıya aittir ve normal bir yetkilendirme sunucusunu ya da token taşıyan bir API'yi ofis alt ağına HTTP üzerinden sunma izni vermez.

İstisnayı istemci türüne ve tanımladığı geri çağrıya sınırlı tutun. Bunu bir web uygulamasına, paylaşılan bir iç hizmete veya başka bir ana bilgisayardaki yönlendirme URI'sine uygulamak istisnayı değil dağıtımı değiştirir.

Gerçek akışı her sınırda test edin ve istemci türüyle karşılaştırın. Çalışan bir yönlendirme, token taşıyan her bacağın gerekli korumayı kullanıp kullanmadığı hakkında hiçbir şey söylemez; yeşil bir VPN simgesi de sonraki isteğin şeması hakkında hiçbir şey söylemez.