Aansprake oor VPN-versleuteling: wat die dokumentasie moet sê

Kyk na die groot getal langs ’n algoritmenaam en vra wat dit werklik meet. Dit sê nie watter verbinding beskerm word nie, watter protokol die beskerming lewer nie, of watter instellings jou kliënt ondersteun nie. ’n Bladsy wat nie sy bewering aan een daarvan kan koppel nie, is advertensie eerder as dokumentasie. Die kontroles hieronder is ’n leesorde vir watter opsomming jy ook al kry, en by die eerste bewering wat jy nie aan ’n spesifieke verbinding kan koppel nie, moet jy ophou.

Bepaal watter verbinding die bewering dek

Een produkbladsy kan tunnelversleuteling, HTTPS na die rekeningportaal en versleuteling van gestoorde data in een enkele paragraaf bespreek. Dit is verskillende paaie en verskillende stoorstelsels, so ’n eienskap van die een sê niks oor die ander nie. Besluit oor watter van die drie die sin handel voordat jy dit met ’n mededinger vergelyk. Dieselfde woord, versleuteling, verskyn in al drie kontekste en beteken elke keer iets anders.

Vir die tonnel self, soek na ’n gedokumenteerde protokol en ’n gedokumenteerde stel ondersteunde sekuriteitsinstellings. Daardie drie etikette is nie uitruilbaar nie: ’n verstekstel kom sonder dat jy dit kies, ’n opsionele modus geld net as die profiel dit kies, en ’n onderhandelde resultaat is wat die twee eweknieë by verbinding ooreengekom het. ’n Verskaffer wat hulle vervaag, het jou minder vertel as wat dit lyk.

Kontroleer die protokol en die stel wat dit toelaat

Begin by die kliëntprofiel eerder as by ’n vergelykingsgrafiek. Die profiel noem die protokol, en die protokol bepaal watter stelle hoegenaamd moontlik is, soos die twee algemene gevalle wys.

’n IKEv2-voorstellys is ’n spyskaart waaruit die gateway kies, so die stel wat jy kry kan verskil tussen twee gateways met identiese kliëntinstellings. WireGuard het nie so ’n spyskaart nie, wat sy bewering makliker maak om te verifieer en smaller om te beskryf. Nie een reëling is op sigself sterker nie; die punt is dat die dokumentasie moet sê watter een bedoel word.

’n Syfernaam alleen laat ook verifikasie weg, sleutelvestiging, blootstelling van metadata en bewaring. Moderne konstruksies kombineer versleuteling en integriteit in een stel, terwyl ouer konstruksies dit skei, so om ’n enkele algoritmenaam aan te haal kan verberg watter eienskap jy werklik kry. Vra die onderhandelingsbeleid skriftelik wanneer die bladsy dit nie vermeld nie.

Kontroleer eweknie-verifikasie en die opdateringstand

Eweknie-verifikasie hoort in die bewering, selfs wanneer die bemarkingsteks dit oorslaan. Sterk versleuteling na ’n onverifieerde ontvanger is nie die resultaat wat iemand bedoel het nie, en ’n tonnel wat jou nie kan sê wie geantwoord het nie, beskerm minder as wat dit lyk. Kyk hoe die kliënt die bediener valideer: ’n sertifikaatketting, ’n vasgepen sleutel of ’n vooraf-gedeelde geheim. Dit is verskillende trustmodelle met verskillende foutmodusse.

Kontroleer dan die implementering en sy opdateringstand, want ’n gedokumenteerde syfer in ’n onopgedateerde kliënt beskryf ’n weergawe wat jy dalk nie gebruik nie. Gepubliseerde beperkings van die protokolskrywers is om dieselfde rede die moeite werd om te lees. ’n Kliënt wat ’n jaar lank nie opgedateer is nie, maak ’n ander bewering as die bladsy voor jou.

Kontroleer waar die tonnel eindig

’n Kliënt-na-bediener-tonnel eindig by die VPN-bediener. Toepassingsversleuteling, soos HTTPS na die diens daar agter, kan verkeer verder langs die roete beskerm, en verby die bediener kan dit die enigste beskerming oor wees. Lees die operateur se verduideliking van eindpunte en besluit na watter van daardie lae die bewering verwys.

Tekenbeleid en rekeningopsporing staan heeltemal buite versleuteling. ’n Operateur kan versleutelde inhoud dra terwyl hy tydsberekening, adresse en volume waarneem, so ’n bewering oor die vertroulikheid van die vrag beantwoord niks oor wat opgeteken word nie. Hanteer bewaring as ’n aparte vraag met sy eie bewyse.

Teken op wat die dokumentasie nie sê nie

Wanneer ’n eienskap ontbreek, teken op dat dit ontbreek in plaas daarvan om dit uit die sagteware se naam of reputasie af te lei. ’n Oudit dek net die eienskappe en komponente wat dit werklik ondersoek het, en ’n leemte in die dokumentasie is op sigself ’n bevinding. Skryf die leemte neer terwyl jy nog onthou watter bladsy dit opgelewer het.

Op ’n masjien wat jy beheer, lees die stel terug uit die lewendige sessie, met die kliënt se statusbladsy of die veiligheidsvereniging-lys op die gateway, en lê daardie waarde langs die kliëntweergawe. Daardie rekord maak ’n verskafferbewering later vergelykbaar, wanneer ’n opdatering die onderhandelde resultaat verander. As die kliënt en die dokumentasie verskil, vertrou die onderhandelde resultaat en rapporteer die verskil eerder as om dit stilweg te versoen.