Enkripsie verberg die data; verifikasie noem die eweknie
Enkripsie beskerm inhoud, eweknie-verifikasie noem die bediener, en magtiging bepaal wat ’n identiteit mag oopmaak. Vra al drie by ’n VPN-ontwerp.
Enkripsie sonder ’n eweknie-kontrole kan ’n vertroulike gesprek by die verkeerde party laat beland. Verifikasie sonder magtiging bewys wie aangesluit het, maar nie wat hulle mag oopmaak nie. Dit is drie afsonderlike kontroles, en ’n VPN-oorsig wat net na die syfer vra, beantwoord net een daarvan. Sorteer die vrae voordat jy enige instellingsbladsy oopmaak.
Vier vrae voordat jy dit veilig noem
Vier vrae raam die oorsig: wat kan waarnemers lees, watter bediener antwoord, wie sluit aan, en wat daardie identiteit mag gebruik. Enkripsie beantwoord die eerste, eweknie-verifikasie die tweede, gebruiker- of toestelverifikasie die derde, en magtiging die laaste. ’n Syfernaam of ’n suksesvolle aanmelding is ’n gedeeltelike antwoord.
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
Ontwerp wat een ry onaangeroer laat, word nie veilig deur ’n ander ry te versterk nie. Die kontroles is aanvullend, nie uitruilbaar nie.
Eweknie-verifikasie is nie ’n aanmelding nie
Die kliënt verifieer dat die bediener die een is wat hy bedoel het, met behulp van gekonfigureerde sertifikate, publieke sleutels of ’n ander ondersteunde meganisme. ’n Vertroude sertifikaatowerheid maak nie elke sertifikaat wat dit ooit uitgereik het die regte bediener nie, so die identiteitskontrole bly belangrik. Om ’n geldige wagwoord by ’n ongeverifieerde eindpunt in te tik, maak daardie eindpunt nie betroubaar nie. Die wagwoord bewys net dat jy bereid was om by wie ook al geantwoord het, te verifieer.
WireGuard wys dieselfde idee met ander meubels: ’n gekonfigureerde eweknie-sleutel doen ’n identiteitskontrole sonder ’n blaaieragtige sertifikaatvenster. ’n Gedeelde geheim wat baie gebruikers ken, identifiseer die groep eerder as een persoon, en daarom dra ’n unieke toestelgeloofsbrief dikwels sterker identiteit.
Geauthentiseerde enkripsie is ’n kriptografiese term
Geauthentiseerde enkripsie beteken die syfer beskerm vertroulikheid en bespeur ongemagtigde veranderinge. Dit beteken nie dat ’n mens aangemeld het nie, en dit besluit nie watter lêers ’n rekening mag oopmaak nie. ’n Syferpakket-naam beskryf ’n konstruksie, nie ’n verhouding tussen twee partye nie. Pakketintegriteit, eweknie-identiteit en rekeningtoestemmings is verwante vereistes met afsonderlike bewyse.
Die RFC 5280-vertrouprofiel is die verwysing vir sertifikaatpaaie en identiteitskontroles wanneer die ontplooiing X.509 gebruik. Om dit te lees is nuttiger as om die woord geauthentiseerd as ’n sinoniem vir veilig te beskou.
Lees die fout voordat jy ’n kontrole verswak
’n Verlope sertifikaat, ’n verkeerde stelselklok en ’n onverwagte bedieneridentiteit het elkeen sy eie regstelling. ’n Geweierde rekening het ’n ander een. As die bediener wettig verander het, kry die bygewerkte vertroumateriaal by die geverifieerde operateur. Om die identiteitskontrole te verwyder sodat die tonnel koppel, ruil ’n sigbare fout vir ’n onsigbare een.
Beskerm die geloofsbriewe waarvan die tonnel afhanklik is. ’n Profiel kan ’n private sleutel hou, en ’n gestoorde wagwoord kan afstandtoegang verleen. Wanneer een uitlek, gebruik die diens se rekening- of sleutelbestuursproses, want om ’n ander land in die kliëntgids te kies, trek nie die ou identiteit terug nie.