Maxsus VPN sertifikati qo'shimcha shifrlash qatlami emas

VPN tugash nuqtasiga maxsus sertifikat o'rnatish himoya qo'shgandek tuyuladi, chunki sertifikatlar va shifrlash hamma joyda birga ko'rinadi. Amalda bu ikki narsani o'zgartiradi: tugash nuqtasi qaysi shaxsni taqdim etishi va uning jufti qaysi chiqaruvchiga ishonishga tayyorligi. Ularning hech biri ma'lumotlaringizni ikkinchi marta o'ramaydi. Agar haqiqiy ehtiyoj ikkinchi himoyalangan kanal bo'lsa, sizga o'z tugash nuqtalari bo'lgan ikkinchi kanal kerak, yana bitta sertifikat emas.

TLS 1.3 qo'l siqishida uchta alohida ish

RFC 8446 bularni ajratib turadi va aynan shu ajratish butun javobdir. Certificate xabari tugash nuqtasining sertifikatlar zanjirini olib yuradi. CertificateVerify mos shaxsiy kalitga egalikni isbotlaydi va qo'l siqish yozuvini bog'laydi. Yozuv qatlami kelishilgan trafik kalitlari bilan trafikni himoya qiladi.

Sertifikatni almashtiring, birinchi ikki band o'zgaradi. Yozuv himoyasi ikki marta ishlamaydi va chiqaruvchi endi xususiy bo'lgani uchun kuchaymaydi.

Xususiy CA aslida nima beradi

U boshqariladigan shaxs tizimini beradi: kimga chiqarilishini siz hal qilasiz, juftlar qaysi chiqaruvchilarni qabul qilishini siz hal qilasiz va o'z jadvalingiz bo'yicha bekor qilishingiz mumkin. Ikkala uchni ham o'zingiz boshqarsangiz, bu haqiqatan foydali.

Ammo u majburiyatlarni ham olib keladi. Ishonch ongli ravishda taqsimlanishi kerak, juftni tekshirish yoqilgan qolishi kerak va hisob ma'lumotlarining hayot davri egasi kimdir bo'lishi kerak. Xususiy CA bu uchtasidan hech birini chetlab o'tadigan qisqa yo'l emas.

Ikkinchi kanal qachon to'g'ri javob

Faraz qilaylik, ilova o'z xizmatiga tasdiqlangan HTTPS ochadi, shu bilan birga uning paketlari VPN orqali ham o'tadi. Bunday dizaynning tugash nuqtalari turlicha bo'lishi mumkin bo'lgan ikki chegarasi bor va ikkinchi himoyalangan kanal aynan shunday ko'rinadi.

Bu farq shlyuzda muhim. Agar ilovaning TLS sessiyasi ilovada emas, VPN shlyuzida tugasa, tunnelning narigi tomonida bor deb o'ylagan himoyangiz u yerda yo'q. Bu xususiyatni da'vo qilishdan oldin har bir kanalni kim tugatishini yozib qo'ying.

O'rnatish nimani o'zgartirishini so'rang

Sertifikat o'rnatish so'rovi uch xil narsani anglatishi mumkin. U klientning o'z shaxsini, ilovaga xos ishonch tayanchini yoki qurilmadagi hamma narsa uchun platforma darajasidagi ishonchni o'zgartirishi mumkin. Bular teng emas va faqat oxirgisi aloqasiz dasturiy ta'minotga ta'sir qiladi.

Uchtadan qaysi biri ko'zda tutilganini, so'ngra u nimaga erishishi kerakligini so'rang. Javob ko'proq shifrlash bo'lsa, taklif noto'g'ri mexanizmga qaratilgan.

Chegaralarni yozing

Har bir kanal uchun tugash nuqtalarini, har tomon tekshiradigan shaxsni va o'rtadagi operator nimalarni ko'ra olishini yozib oling. Keyin nosozlik xulqini yozing: tekshiruv muvaffaqiyatsiz bo'lganda nima bo'ladi va kanaldan bosh tortilganda nima bo'ladi.

Bir varaqda ikki satr odatda sertifikat aylanishi hal qila olmaydigan bahsni hal qiladi.

Uch savol bilan qaror qiling

Muammo tugash nuqtasi o'zini kim deb ko'rsatishidami yoki ma'lumotlarga nima bo'lishidami? Himoya VPN shlyuzidan naridan aniq bir ilovagacha davom etishi kerakmi? Va ikkinchi kanalni tugatadigan ikki tugash nuqtasini ayta olasizmi?

Agar birinchi savol haqiqiy bo'lsa, shaxs va ishonchni tuzating. Ikkinchi yoki uchinchi bo'lsa, ikkinchi kanalni loyihalang va sertifikatni o'z joyida qoldiring.