一次双证书传输加密的失败案例

在购买了一台服务器后, 我开始摸索加密网络传输协议(https)的应用.

由于需求特殊, 涉及到流量的来往和流量的转发, 因此我决定使用两个证书分别对两个过程进行传输加密. 并对以上两个过程分别认为是外层和内层. 外层始终存在(访问服务器), 内层只在转发流量时用到, 可以看成是基于流量往来的内层.

外层:
我在外层使用Let’s encrept官方推荐的certbot生成了授权的90天rsa证书, 成功的把我的IP由http升级成了https. 照理来说传输会更加安全, 因为传输的信息会经过加密, 虽然我用的是rsa证书, 加密强度比ecc证书弱上不少, 但是有胜于无.

内层:
因为一些其他需求, 因此搭建了数据转发的功能. TLS传输需要用到证书才能完成. 通常来说证书两个证书可以使用一张保持统一, 也方便维护. 但是我在内层使用了ecc证书, 也是Let’s encrept提供的.

我猜想这样的双证书结构大概就不容易被识别出有数据转发. 而且就算单个证书被破解(外层rsa证书), 而用于转发的内层证书还是能够阻止数据泄露.

然后就这么用了大概三个月, 然后有一天发现我用来转发数据的端口被爆破了…只有这个端口被爆破, 不知道是什么意思…

于是我打听了一下, 同僚用的单证书TLS的服务器大约半年还是好好的.