ادعاءات تشفير VPN: ما الذي يجب أن توثّقه الوثائق

انظر إلى الرقم الكبير بجوار اسم خوارزمية واسأل عمّا يقيسه فعلاً. فهو لا يخبرك أي اتصال محمي، ولا أي بروتوكول يوفّر الحماية، ولا أي إعدادات يدعمها عميلك. والصفحة التي لا تستطيع ربط ادعائها بأحد هذه الأمور هي إعلان لا توثيق. والفحوص أدناه هي ترتيب للقراءة ينطبق على أي ملخّص وصلك، وأول ادعاء لا تستطيع ربطه باتصال محدّد هو موضع التوقف.

حدّد الاتصال الذي يغطيه الادعاء

يمكن لصفحة منتج واحدة أن تناقش تشفير النفق، وHTTPS إلى بوابة الحساب، وتشفير البيانات المخزّنة، في فقرة واحدة. وهذه مسارات مختلفة وأنظمة تخزين مختلفة، فخاصية في أحدها لا تقول شيئاً عن الأخرى. قرّر أي الثلاثة تتناوله الجملة قبل أن تقارنه بمنافس. والكلمة نفسها، التشفير، تظهر في السياقات الثلاثة كلها وتعني شيئاً مختلفاً في كل مرة.

بالنسبة إلى النفق نفسه، ابحث عن بروتوكول موثّق ومجموعة موثّقة من إعدادات الأمان المدعومة. وهذه التسميات الثلاث ليست قابلة للتبادل: فالمجموعة الافتراضية تُسلَّم دون أن تختارها، والوضع الاختياري لا يسري إلا إذا اختاره الملف الشخصي، والنتيجة المتفاوض عليها هي ما اتفق عليه الطرفان عند الاتصال. والمورّد الذي يطمس هذه الفروق أخبرك بأقل مما يبدو.

افحص البروتوكول والمجموعة التي يسمح بها

ابدأ من ملف تعريف العميل لا من رسم مقارنة. فالملف يسمّي البروتوكول، والبروتوكول يحدّد المجموعات الممكنة أصلاً، كما تُظهر الحالتان الشائعتان.

قائمة مقترحات IKEv2 هي قائمة يختار منها البوابة، لذا قد تختلف المجموعة التي تحصل عليها بين بوابتين بإعدادات عميل متطابقة. وWireGuard لا يملك قائمة كهذه، ما يجعل ادعاءه أسهل في التحقق وأضيق في الوصف. ولا أحد الترتيبين أقوى بحد ذاته؛ والنقطة أن التوثيق عليه أن يقول أيهما المقصود.

اسم الخوارزمية وحده يغفل أيضاً المصادقة، وإنشاء المفاتيح، وانكشاف البيانات الوصفية، ومدة الاحتفاظ. فالبنى الحديثة تجمع التشفير والسلامة في مجموعة واحدة، بينما تفصلهما البنى الأقدم، لذا فإن ذكر اسم خوارزمية واحد قد يخفي أي خاصية تحصل عليها فعلاً. اطلب سياسة التفاوض كتابةً عندما لا تذكرها الصفحة.

افحص مصادقة الطرف الآخر وحالة التحديث

مصادقة الطرف الآخر مكانها في الادعاء حتى حين تتجاهلها النصوص التسويقية. فالتشفير القوي إلى مستلم غير موثّق ليس النتيجة التي يقصدها أحد، والنفق الذي لا يستطيع أن يخبرك من أجاب يحمي أقل مما يبدو. ابحث عن كيفية تحقق العميل من الخادم: سلسلة شهادات، أو مفتاح مثبَّت، أو سر مشترك مسبقاً. وهذه نماذج ثقة مختلفة بأوضاع فشل مختلفة.

ثم افحص التنفيذ وحالة تحديثه، لأن شيفرة موثّقة في عميل غير محدَّث تصف نسخة قد لا تشغّلها. والقيود المنشورة من مؤلفي البروتوكول تستحق القراءة للسبب نفسه. والعميل الذي لم يُحدَّث منذ سنة يقدّم ادعاءً مختلفاً عن الصفحة التي أمامك.

افحص أين ينتهي النفق

نفق من العميل إلى الخادم ينتهي عند خادم VPN. وتشفير التطبيق، مثل HTTPS إلى الخدمة خلفه، يمكن أن يحمي حركة المرور أبعد على المسار، وقد يكون بعد الخادم الحماية الوحيدة المتبقية. اقرأ شرح المشغّل لنقاط النهاية وقرّر أي هذه الطبقات يعنيه الادعاء.

سياسة التسجيل وتتبّع الحساب تقف خارج التشفير تماماً. فالمشغّل يمكن أن ينقل محتوى مشفّراً وهو يراقب التوقيت والعناوين والحجم، لذا فادعاء سرية الحمولة لا يجيب شيئاً عمّا يُسجَّل. تعامل مع مدة الاحتفاظ كسؤال منفصل له أدلته الخاصة.

سجّل ما لا يقوله التوثيق

حين تغيب خاصية، سجّل غيابها بدلاً من استنتاجها من اسم البرنامج أو سمعته. فالتدقيق يغطي فقط الخصائص والمكونات التي فحصها فعلاً، والثغرة في التوثيق نتيجة بحد ذاتها. اكتب الثغرة بينما ما زلت تذكر أي صفحة أنتجتها.

على جهاز تتحكم فيه، اقرأ المجموعة من الجلسة الحية، باستخدام صفحة حالة العميل أو قائمة جمعيات الأمان على البوابة، وسجّل تلك القيمة إلى جانب نسخة العميل. فذلك السجل يحوّل ادعاء المورّد إلى شيء قابل للمقارنة لاحقاً، حين يغيّر تحديث النتيجة المتفاوض عليها. وإذا اختلف العميل والتوثيق، فثق بالنتيجة المتفاوض عليها وأبلغ عن التباين بدلاً من تسويته بصمت.