Package: tlswrapper (0~20250201-2 and others)

wrapper per cifratura TLS

tlswrapper è un wrapper per cifratura TLS tra un client remoto e un programma locale prog.

Internet <--> tcpserver/inetd/systemd.socket/... <--> tlswrapper <--> prog

Processi separati per ogni connessione

tlswrapper viene eseguito da systemd.socket/inetd/tcpserver/... che lancia un'istanza separata di tlswrapper per ogni connessione TLS. Ciò assicura che una vulnerabilità nel codice (es. un bug nella libreria TLS) non possa essere usata per compromettere la memoria di un'altra connessione.

Processi separati per connessione di rete e operazioni sulla chiave segreta

Per proteggere contro la divulgazione delle informazioni segrete tramite la connessione di rete (come Heartbleed), tlswrapper esegue due processi indipendenti per ogni connessione TLS. Un processo mantiene le chiavi segrete ed esegue le operazioni su di esse e il secondo dialoga con la rete. I processi comunicano tra loro tramite pipe Unix.

Separazione dei privilegi, isolamento del file system, limiti

I processi di tlswrapper sono eseguiti sotto un uid dedicato diverso da zero per proibire kill, ptrace, ecc. Viene fatto il chroot in una directory vuota e non scrivibile per proibire l'accesso al file system. Viene impostato ulimits per proibire nuovi file, socket, ecc. Viene impostato ulimits per proibire i fork.

Libreria TLS

tlswrapper usa la libreria BearSSL che implementa solo le versioni sicure del protocollo TLS (TLS1.0 - TLS1.2) e implementa algoritmi sicuri e in tempo costante.

This page is also available in the following languages (How to set the default document language):