TLS pinlash va VPN kirishi turli savollarga javob beradi

Shaxsiy mobil ilovani VPN ortiga qo’ying, va aqli raso odam undan hali ham sertifikat pinlash kerakmi deb so’raydi. Savol ikkita teng nazorat orasidagi tanlovdek eshitiladi, aslida esa bu ikki xil darvoza haqidagi savol. VPN bu qurilma yo’ldan umuman foydalana olishini hal qiladi; ilova esa yetib borgan server kutgan server ekanini hal qiladi. Ikkalasiga alohida javob bering, dizayn soddalashadi.

Ikki darvoza, ikki savol

Tarmoqqa kirish mijozga taalluqli: bu qurilma ro’yxatdan o’tganmi, uning ishonchnomasi amal qiladimi va siyosat uni bu yo’lga qo’yadimi? Ilovaning ishonchi serverga taalluqli: ulanish ilova qabul qiladigan identifikatsiyaga ega xizmatga yetdimi? Bu javoblar turli tizimlardan keladi, turli sabablarga ko’ra muvaffaqiyatsiz bo’ladi va ularni turli jamoalar tuzatadi. VPN qo’l berib ko’rishuvi muvaffaqiyatli bo’lishi mumkin, ilova esa sherik ortidagi muddati o’tgan sertifikat bilan gaplashayotgan bo’lishi mumkin. Mukammal pinlangan ilovaga ham hech kim yetib bormasligi mumkin, chunki qurilma tarmoqqa umuman kirmagan.

Ikkalasi qo’shiladi. Birini olib tashlash bitta nazoratni olib tashlaydi; ikkinchisini qo’shish uning o’rnini bosmaydi.

Pinlash aslida nimani cheklaydi

Pinlash ilova qabul qiladigan server identifikatsiyalari to’plamini toraytiradi, odatda qaysidir ombor kafolat beradigan har bir zanjirga ishonish o’rniga ochiq kalit yoki sertifikat xeshini nomlaydi. Bu oddiy tekshiruv ustiga qo’yilgan cheklov, uning o’rnini bosuvchi emas. Oddiy tekshiruv zanjir umuman ishonchli ekanini javob beradi; pinlash esa bu ilova kutgan zanjir ekanini javob beradi. Birinchi qadamni o’tkazib yuborgan amalga oshirish xavfsizlikni emas, faqat yangilikni qo’lga kiritdi.

Pinlanadigan obyekt platformalar orasida farq qiladi, shuning uchun so’zning o’zi juda kam narsa aytadi. Bitta mahsulotning ishonch omboridan xesh ko’chirib, uni mobil ilovada o’sha narsa deb hisoblash keng tarqalgan va jimgina xato.

Platformada pinlash konfiguratsiya, siyosat emas

Android pinlashni tarmoq xavfsizligi konfiguratsiyasi orqali taqdim etadi, unda pin to’plami ochiq kalit dayjestlarini saqlaydi va zanjirda ulardan kamida bittasi bo’lishi kerak. Bu fayl har bir ilova uchun va ataylab qilingan build o’zgarishini talab qiladi. iOS’da ekvivalent manifest mexanizmi yo’q, shuning uchun u yerda pinlash ilovaning o’z ishonch baholash kodida yashaydi.

Mexanizm boshqacha bo’lgani uchun talab har bir platforma uchun yozilishi kerak. Platformani nomlamasdan sertifikatni pinlang degan siyosat amalga oshirib bo’lmaydi.

Rotatsiya pinlash omon qolishini hal qiladi

Qiyin qism birinchi nashr emas, undan keyingi sertifikat yangilanishi. Qattiq ishonch siyosati qonuniy yangi kalitni hujumchining kaliti kabi kuchli rad etadi.

Ikki mexanizm rotatsiyani chidashli qiladi: kerak bo’lishidan oldin ishoniladigan zaxira pin, va pin to’plamida tugash sanasi, shunda ijro ilovani bloklash o’rniga to’xtaydi. Ikkalasi ham siyosat qarori, va ayniqsa tugash sanasi xavfsizlikni ataylab pasaytirish, zararsiz taymer emas. Ilovaning buildi, TLS oxirgi nuqtasi va sertifikat yangilanishini kim boshqarishini nomlang va ularni bitta o’zgarish jarayoniga birlashtiring. Agar ular uch xil jamoa bo’lsa, pinlash oxir-oqibat hech kim rejalashtirmagan uzilishga sabab bo’ladi.

Yo’qolgan qurilma uchinchi muammo

VPN ishonchnomasini bekor qilish ilova sessiyasini albatta tugatmaydi, va server pini boshqaning qo’lidagi telefonga umuman hech narsa qilmaydi. Qurilma qulfi, ishonchnoma saqlash, sessiya umri va masofadan bekor qilish alohida egalarga ega alohida qarorlar. Ularni pinlash muhokamasiga qo’shib qo’yish ularning hech biri loyihalanmasligini kafolatlaydi.

Ko’rib turgan bitta munosabat o’rniga to’rttasini sinab ko’ring: mo’ljallangan server va amal, rad etilishi kerak bo’lgan hisob, rad etilishi kerak bo’lgan server identifikatsiyasi va rejalashtirilgan rotatsiya. Ishlaydigan VPN faqat birinchisini mashq qiladi. Har bir sinov nimani isbotlaganini yozib qo’ying, chunki keyingi odam yashil tunnel to’rttasi ham o’tdi degani deb o’ylaydi.