ما الذي يفعله المفتاح المشترك مسبقًا في IPsec وOpenVPN وWireGuard

تظهر عبارة المفتاح المشترك مسبقًا في وثائق IPsec وOpenVPN وWireGuard، لكنها تصف ثلاثة كائنات مختلفة. أحدها سر للمصادقة، وآخر يحمي قناة تحكم، والثالث يضيف مادة إلى مصافحة لديها هويات بالفعل. التعامل معها على أنها قابلة للتبادل ينتج اتصالًا يفشل في مرحلة لم يتوقعها أحد. اقرأوا ما يفعله الحقل في ذلك البروتوكول قبل نسخ قيمة فيه.

ثلاثة بروتوكولات، ثلاثة معانٍ

كل بروتوكول يحدد مهمة المفتاح في مواصفته الخاصة، وهذه المهام لا تتداخل. سر المصادقة يثبت أن طرفين يعرفان القيمة نفسها. مفتاح قناة التحكم يحمي المفاوضات التي تليه. وإضافة المصافحة تغير جدول المفاتيح دون تغيير من هم الأطراف.

لا يصادق أي من هذه الأدوار على إنسان، وهذا الالتباس تحديدًا هو الأكثر استهلاكًا للوقت. يُزوَّد المفتاح المشترك مسبقًا للأجهزة أو البوابات قبل التبادل، لذا يبدو كل حائز متطابقًا للطرف الآخر. هذه الخاصية ميزة لرابط بين موجهين ومسؤولية لخدمة وصول عن بعد بموظفين محددين بالاسم. احفظوا بيانات الحساب والسر التشفيري في عمودين منفصلين في الوثيقة التي تصف النشر.

IPsec وOpenVPN يستخدمان الكلمة بشكل مختلف

يستطيع IKEv2 مصادقة طرف بسر مشترك مسبقًا بدل الشهادات، ويجب أن تتطابق القيمة على الطرفين. ولأن السر نفسه يُضبط عادة لمجموعة من الأطراف، يستطيع أي حائز انتحال هوية الآخرين، ولا يكسب التبادل أي سرية أمامية من مفاتيح هوية لم يملكها قط.

خيارا tls-auth وtls-crypt في OpenVPN يربطان مفتاحًا ثابتًا بقناة التحكم، بإضافة توقيع HMAC أو بتشفير المفاوضات نفسها. هذا المفتاح ليس كلمة مرور مستخدم ولا يحل محل شهادة العميل. التمييز بينهما مهم عند التجديد، حين يترك تغيير كلمة المرور مفتاح قناة التحكم دون مساس.

مفتاح PSK في WireGuard يضيف، ولا يعرّف

أطراف WireGuard تملك بالفعل مفاتيح عامة وخاصة من Curve25519، والمصافحة تصادق على هذه الهويات. ويُخلط المفتاح المشترك مسبقًا الاختياري في مفتاح السلسلة، فيضيف مادة متناظرة فوق تبادل المفاتيح العامة.

لا يوفر هوية خاصة به ولا حساب مستخدم، لذا لا يستطيع المشغل التمييز بين حائزين بواسطة مفتاح PSK الخاص بهما. يجب أن يحمل الطرفان القيمة نفسها، وإلا فشلت المصافحة دون رسالة خطأ مفيدة. لذلك يجب تخطيط التدوير للجانبين معًا لا كتحرير لملف واحد.

افحصوا التوزيع والتدوير والإزالة

التوزيع هو نقطة الضعف في كل تصميم يستخدم سرًا واحدًا في أماكن كثيرة. القيمة التي تُلصق في نافذة محادثة أو تُخزن في مستودع أو تُعاد استخدامها بين البيئات تجمع نسخًا لا يستطيع أحد حصرها، وكل نسخة توسع نطاق الضرر بهدوء.

نص Base64 ليس تشفيرًا. السر المحفوظ بجانب شهادة عامة في المجلد نفسه يظل سرًا في نص صريح.

openssl rand -base64 32
sudo wg show wg0 preshared-keys
sudo grep -R -n 'psk' /etc/ipsec.d/ 2>/dev/null

أجروا التدوير وفق جدول وبعد أي انكشاف مشتبه، مع تحديث كل طرف مقصود قبل إبطال القيمة القديمة. ثم اختبروا الرابط من الطرفين، لأن المفتاح غير المتطابق يفشل عند المصافحة ويبدو تمامًا كمشكلة جدار حماية.

وثّقوا أي سر يحمي أي مرحلة، حتى لا يُخلط إعادة تعيين كلمة المرور بتجديد مفتاح تشفيري. هذا السطر الواحد يوفر ساعة في كل مرة يراجع فيها أحدهم النشر.