Package: tlswrapper (0~20250201-2 and others)

TLS-krypteringsomslag

Tlswrapper er et TLS-krypteringsomslag mellem ekstern klient og lokale programmer.

Internet <--> tcpserver/inetd/systemd.socket/... <--> tlswrapper <--> prog

Adskilt proces for hver forbindelse.

Tlswrapper afvikles fra systemd.socket/inetd/tcpserver/... der afvikler en separat instans af tlswrapper for hver TLS-forbindelse. Det sikrer, at en sårbarhed i koden (f.eks. en fejl i TLS-bibliotektet) ikke kan bruges til at kompromittere hukommelsen for en anden forbindelse.

Separat proces for netværksoforbindelse og for secret-key-operation

For at beskytte mod læk af hemmelig information til netværksforbindelsen (såsom Heartbleed) afvikler tlswrapper to uafhængige processer for hver TLS-forbindelse. En indeholder secret-keys og afvikler secret-keys-operationer og den anden kommunikerer med netværket. Processer kommunikerer med hinanden via Unix-datakanaler.

Privilegie-separation, filsystem-isolering, begrænsninger

Tlswrapper-processerne afvikles under dedikeret ikke-nul uid for at forhindre kill, ptrace, etc. Er chrootet i en tom, skrivebeskyttet mappe for at forhindre filsystemadgang. Sætter ulimits for at forhindre nye filer, sokler etc. Sætter ulimits for at forhindre forgreninger.

TLS-bibliotek

Tlswrapper bruger BearSSL-biblioteket, der kun implementerer sikre versioner af tLS-protokollen (TLS1.0 - TLS1.2). Og implementerer sikre og konstant-tid algoritmer.

This page is also available in the following languages (How to set the default document language):