VPN ichidagi OAuth: qaysi bosqichlar hali ham TLS talab qiladi

Maxfiy marshrutlash serverga kim yetib borishini hal qiladi; OAuth transport qoidalari esa har bir xabar qanday harakatlanishini hal qiladi. Brauzer, avtorizatsiya serveri, token endpointi va resurs serveri bir xil VPN orqasida bo’lib, baribir xabarlarni turli bosqichlar orqali almashishi mumkin. Har bir bosqichning o’z transport talabi bor va VPN ularning hech birini yumshatmaydi. VPN chegarasi bilan protokol chegarasi boshqa-boshqa chiziqlardir.

Tarmoq ishonchlimi, deb so’rashni to’xtatib, qaysi almashinuv qaysi chegarani kesib o’tayotganini so’ray boshlasangiz, qaror osonlashadi.

Tarmoqqa emas, bosqichga qarab qaror qiling

Endpointlarni alohida yozib chiqing: avtorizatsiya endpointi, token endpointi, qayta yo’naltirish URI, resurs server URL manzili, TLS tugash nuqtasi va VPN shlyuzi. So’ngra har bir so’rovni qaysi tomon boshlashini va javob qayerga ketishini belgilang.

Shlyuzda tugaydigan VPN o’sha shlyuzgacha bo’lgan segmentni shifrlaydi. So’rov uning orqasida oddiy HTTP sifatida davom etishi mumkin va oldingi segment shifrlanganligi sababli qolgan bosqich HTTPSga aylanmaydi. Protokol aynan shu davomiy bosqichga e’tibor beradi. Birinchi sakrashni shifrlash ikkinchi sakrashni xavfsiz qilmaydi.

Transport xizmat identifikatorini tekshirishni ham olib yuradi. Brauzer ilova URL manzili uchun sertifikatni tekshiradi; VPN bu tekshiruvni brauzer nomidan bajarmaydi va tekshirilmagan endpointni maqbul holga keltirmaydi. Sertifikat mijoz chaqiramiz deb hisoblagan endpoint nomini ko’rsatadi. Shlyuzga ochilgan tunnel bu endpoint nomini o’zgartirmaydi ham, uni tekshirmaydi ham.

Avtorizatsiya javobi va qayta yo’naltirish URI

OAuthning amaldagi eng yaxshi xavfsizlik amaliyoti avtorizatsiya javoblarini shifrlanmagan ulanishlar orqali uzatishni taqiqlaydi. Bu faqat dastlabki so’rovni emas, avtorizatsiya kodini yoki tokenlarni mijozga qaytaruvchi qayta yo’naltirishni ham qamrab oladi.

Xuddi shu yo’riqnoma HTTP qayta yo’naltirish URIlariga yo’l qo’ymaydi, faqat ko’rsatilgan mahalliy mijoz loopback holati bundan mustasno. Ichki host nomi yangi istisno yaratmaydi va faqat VPN ichida yechiladigan DNS nomi, agar sxema shuni aytsa, baribir HTTP URL bo’lib qoladi. Ro’yxatga olingan URI dagi sxemani tekshiring, faqat host nomini emas.

Aniq HTTPS qayta yo’naltirish URI ni avtorizatsiya serverida ro’yxatdan o’tkazing va mijozda sertifikat tekshiruvini yoqilgan holda saqlang. HTTPS talabini bosadigan ishlab chiqish yechimi o’zi taqlid qilishi kerak bo’lgan ishlab chiqarish konfiguratsiyasidan boshqacha ishlaydigan oqim hosil qiladi.

Token endpointi va bearer-token so’rovlari

Token so’rovi kirish huquqiga almashtiriladigan hisob ma’lumotlari yoki kodni olib yuradi. Uni himoyalanmagan bosqich orqali yuborish, atrofdagi tarmoq maxfiy bo’lsa ham, resurs serveri keyinchalik ishonadigan materialni oshkor qiladi. So’rovni o’qiy oladigan proksi u olib yurgan hisob ma’lumotlarini ham o’qiy oladi.

Bearer-token bilan resurs so’rovlari uchun RFC 6750 TLSni ushbu spetsifikatsiya doirasida joriy etish va ishlatishni majburiy deb biladi. Ofis quyi tarmog’ini ishonchli deb e’lon qilish ochiq matnli bearer joylashtirishiga kerak bo’ladigan umumiy protokol istisnosi emas.

Ikkala bosqich uchun hujjatlashtirilgan xavfsiz endpoint URL manzillaridan foydalaning. Agar kutubxona HTTP token endpointini chaqirishdan bosh tortsa, bu rad etish spetsifikatsiyaning ishlashi, aylanib o’tish kerak bo’lgan konfiguratsiya xatosi emas. O’sha URLni ish vaqtida hosil qilish o’rniga mijoz konfiguratsiyasiga yozib qo’ying.

TLS qayerda tugaydi va ortda nima qoladi

Agar TLS vakolatli frontendda tugasa, o’sha frontendni nomlang va undan ilovagacha bo’lgan yo’lni ko’rib chiqing. Frontend qolgan segmentda uzatish, ishonch va maxfiylik uchun javobgar bo’ladi va xizmatning qo’llab-quvvatlanadigan arxitekturasi shu tartibni tavsiflashi kerak.

Yo’lning boshqa joyidagi VPN bu javobgarliklarni hal qilmaydi. Shuningdek, brauzer ko’rayotgan ilova URL manzili frontend taqdim etayotgan sertifikatga mos keladimi-yo’qmi, buni ham aytmaydi.

Ichki joylashtirish uchun tugash nuqtasini va u taqdim etadigan identifikatorni yozib qo’ying. Boshqa nom uchun sertifikat bilan TLSni tugatadigan frontend, operatorlar tuzatish o’rniga ko’pincha bosib qo’yadigan brauzer ogohlantirishini keltirib chiqaradi.

Mahalliy loopback istisnosi tor

Loopback qayta yo’naltirish istisnosi foydalanuvchining o’z qurilmasidagi qayta chaqiruvga taalluqli bo’lib, u yerda mijoz va brauzer o’sha qurilmani birgalikda ishlatadi. Bu tartib bitta qurilmadagi qayta chaqiruvga tegishli va ofis quyi tarmog’iga HTTP orqali oddiy avtorizatsiya serverini yoki token olib yuruvchi APIni taqdim etishga ruxsat bermaydi.

Istisnoni mijoz turi va u tavsiflaydigan qayta chaqiruv doirasida saqlang. Uni veb-ilovaga, umumiy ichki xizmatga yoki boshqa hostdagi qayta yo’naltirish URI ga qo’llash istisnoni emas, joylashtirishni o’zgartiradi.

Haqiqiy oqimni har bir chegarada sinab ko’ring va uni mijoz turi bilan solishtiring. Ishlaydigan qayta yo’naltirish token olib yurgan har bir bosqich talab qilingan himoyani ishlatganmi-yo’qmi, bu haqda hech narsa demaydi; yashil VPN belgisi esa keyingi so’rovning sxemasi haqida hech narsa demaydi.