IPsec ilkin paylaşılan açarı: yazdığınız sətrin arxasındakı baytlar

İki administrator ekranda sirri müqayisə edir, onun uyğun olduğunu təsdiqləyir, amma tunel yenə də autentifikasiyadan keçmir. Onların müqayisə etdiyi sətir heç bir tərəfin açar törəməsinə verdiyi dəyər deyil. Gördüyünüz simvollarla protokolun heşlədiyi baytlar arasında sahə tipi, mətn kodlaşdırması, redaktor və mübadilə buferi var və bu dördündən hər biri girişi görünüşünü dəyişmədən dəyişə bilər. Baytları müqayisə edin və uyğunsuzluq adətən saniyələr içində görünür.

Şlüzün sətirlə nə etdiyi

İlkin paylaşılan açar naqil üzərindən göndərilib müqayisə olunmur. Hər tərəf öz yerli kopyasını IKE mübadiləsi üçün açar törəməsinə verir və nəticədə yaranan autentifikasiya yükləri ya təsdiqlənir, ya da təsdiqlənmir. Bu dizayn iki kopyanın vizual oxşar deyil, bayt səviyyəsində eyni olması lazım olduğunu bildirir və həmçinin uğursuzluğun yanlış parol mesajı kimi deyil, autentifikasiya mərhələsində bildirildiyini göstərir.

Ona görə faydalı sual heç vaxt «bunlar eyni görünürmü» deyil, «hər tətbiq hansı dəqiq bayt ardıcıllığını heşləyir» olur.

Əlavə baytların haradan gəldiyi

Sondakı yeni sətir klassik günahkardır və göz önündə gizlənir, çünki əksər redaktorlar fayl saxlananda onu görünməz şəkildə əlavə edir. Çat pəncərəsindən yapışdırılan əvvəlki və ya sondakı boşluq da eyni şeyi edir, söz emalı proqramının düz dırnağı ağıllı dırnaqla əvəz etməsi də. Bunların heç biri insanın apardığı vizual müqayisəni dəyişmir.

Qliflər yerinə baytları göstərən alətlə müqayisə edin. printf '%s' "$PSK" | xxd | tail -2 dəyərin sonunu onaltılıq sistemdə çap edir və orada tək qalmış 0a və ya 20 dərhal görünür. Bunu hər iki tərəfdə edin və iki çıxarışı yan-yana müqayisə edin. Bunu yaradılmış test materialında edin, sonra shell tarixçəsində qoyacağınız istehsal sirri üzərində deyil.

Kodlanmış şifrələnmiş demək deyil

Konfiqurasiya ixracları səri çox vaxt baza kodlaşdırmasında daşıyır, bəzən hər altmış və ya yetmiş altı simvoldan bir sətir fasiləsi ilə, bəzən də doldurma ilə. Əgər bir tərəf dekodlanmış baytları gözləyirsə və siz kodlanmış mətni yapışdırmısınızsa, fərqli parol göndərməmisiniz, çap oluna bilən simvollardan ibarət daha uzun bir parol göndərmisiniz. Base64 heç bir məxfilik təmin etmir, bu da kodlanmış sirrin ikinci rəy üçün heç vaxt forumda yapışdırılmamasının səbəbidir.

Apple-ın IPSec lüğəti tipin vacibliyinin faydalı nümunəsidir: o, SharedSecret-ü L2TP və Cisco IPsec yüklərində ilkin paylaşılan sirr autentifikasiya metodu üçün məlumat kimi sənədləşdirir. Bu, konkret yükdə konkret xassədir, təsadüfən sirr tələb edən başqa protokol üçün təkrar istifadə edə biləcəyiniz ümumi mətn sahəsi deyil.

İddia edilən hədd bir kombinasiyaya aiddir

Bir Apple müştərisində otuz iki simvol tavanı haqqında köhnə hesabatlar bir müştəri versiyası, protokolu və profil forması haqqında real hesabatlardır. Onlar hər Apple platforması, hər provayder və hər protokol üçün universal hədd deyil. Versiyanı, yük tipini və şlüz tələbini birlikdə yoxlayın, sonra mövzudan nəticə çıxarmaq əvəzinə təsdiqlənmiş quruluşda sınaqdan keçirin. Sınaqdan keçirilmiş kombinasiyanı dəyişiklik qeydinə yazın, əks halda növbəti şəxs eyni mövzuya layiq olduğundan daha böyük əminliklə istinad edəcək.

Əgər hədd həqiqətən tətbiq olunursa, cavab ona uyğun dəstəklənən etimadnamə dizaynıdır, güclü sirrin qısaldılmış versiyası deyil. İstehsal açarını təxmini həddi ödəmək üçün kəsmək onun gücünü birdəfəlik azaldır və sənədləri artıq təhlükəsizliyinə uyğun gəlməyən sistem yaradır.

Gücü deyil, təsviri düzəldin

Təsvir təsdiqləndikdən sonra autentifikasiya uğursuz olarsa, autentifikasiya mərhələsində qüvvədə olan siyasəti oxuyun: hansı metodun danışıldığını, hansı peer şəxsiyyətinin gözlənildiyini və şlüzün düşündüyünüz bağlantıya uyğun olub-olmadığını. Getdikcə zəifləyən təxminlər diaqnoz deyil, dəstək bileti əlavə edilmiş yavaş enişdir.

Tələb olunan etimadnamə təşkilatın standartına cavab verə bilmirsə, dizaynı cavab verə bilənə dəyişdirin. Kifayət qədər entropiyası olan, bir dəfə yaradılan, idarə olunan sahədə saxlanılan və heç vaxt yayımlanmayan paylaşılan sirr tamamilə yaxşı cavabdır; onun daha qısa versiyası isə deyil.