VPN-də nonce nədir və təkrar istifadə tuneli niyə pozur

Əksər insanlar nonce sözünə VPN profilində rast gəlir və onun həmyaşıdlar arasında köçürülən daha bir ümumi sirr olduğunu düşünür. Belə deyil. Nonce eyni açar altında heç vaxt təkrarlanmamalı olan dəyərdir və nonce-a əsaslanan şifrələmənin çoxunda açıq şəkildə ötürülür. Qarışıqlıq kimsə onu əl ilə redaktə edənə qədər zərərsiz qalır; əsl sıradan çıxma da orada başlayır.

Nonce əslində haradan gəlir

Təsdiqlənmiş şifrələmə bir açar altında şifrələnən hər mesaj üçün fərqli nonce tələb edir. Protokollar bu tələbi müxtəlif yollarla ödəyir: monoton artan sayğac, paket identifikatoru ilə birləşdirilən duz və ya kifayət qədər uzun təsadüfi dəyər. IKEv2 ilkin mübadilə zamanı nonce-ları mübadilə edir və onlar sirr deyil, açar çıxarılması üçün açıq girişlərdir.

Unikallıq struktur və ya ehtimali ola bilər. Sayğac dolub keçənə qədər təkrarlana bilməz, buna görə protokol bundan çox əvvəl açarın yenilənmə nöqtəsini müəyyən edir. Təsadüfi dəyər mesaj limiti daxilində toqquşmanın inandırıcı olmaması üçün kifayət qədər bitə güvənir; bu, fərqli uğursuzluq rejimi olan fərqli bir arqumentdir. Protokol sənədləri hansı metodun tətbiq olunduğunu göstərir və hər ikisi yalnız göstərilən limitə riayət olunduqca təhlükəsizdir.

Təkrar istifadənin əsl qiyməti

Bir açar altında nonce-u təkrar istifadə etmək kiçik səmərəlilik məsələsi deyil. GCM ilə IV-ni paylaşan iki mesaj müşahidəçiyə autentifikasiya açarını bərpa etməyə və iki açıq mətnin eksklüziv-və-ya-sını hesablamağa imkan verir. Axına əsaslanan quruluşlar açar axınını eyni şəkildə təkrar istifadə edir və bu, şifrə mətnini sirr əvəzinə tapmacaya çevirir.

Buna görə tətbiqlər sayğac dolmadan açarı yeniləyir və vəziyyətləri qeyri-müəyyən olduqda davam etmək əvəzinə dayanırlar. Həmyaşıd hələ köhnə açarı saxlayarkən sayğacı sıfırlayan yenidən başlatma və ya sessiyanın ortasında çəkilmiş snapshotdan bərpa olunan virtual maşın məhz limitlərin qarşısını almaq üçün mövcud olduğu vəziyyətdir. Təcavüzkar tələb olunmur; adi əməliyyatlar kifayətdir.

Niyə əl ilə redaktə səhv düzəlişdir

Sayğaclar, duzlar və paket identifikatorları hər iki tərəfin paylaşdığı vəziyyət maşınlarıdır. Bir tərəfi dəyişmək digərini sinxronizasiyadan çıxarır və tunel marşrutlaşdırma probleminə bənzəyən şəkildə sıradan çıxır. Dəstəklənən rıçaq hər iki tərəfin vəziyyətini eyni vaxtda sıfırlayan təzə açar mübadiləsidir.

Parollar və nonce-lar da fərqli rol oynayır. Parol açar çıxarılması üçün gizli girişdir; nonce hər mesaj üçün açıq girişdir. nonce etiketi daşıyan və uzun bir sirr tələb edən profil sahəsi adətən başqa ad altında statik açar və ya əvvəlcədən paylaşılmış sirrdir, ona görə fərziyyə etmək əvəzinə həmin sahənin sənədlərini oxuyun.

Tövsiyə nonce ilə davranışa aiddirsə, düzəliş tərtibatçının düzəldilmiş versiyasıdır, başqa şifrə və ya daha qısa açar deyil. nonce sözündən qaçmaq üçün şifrəni dəyişmək problemi həll etmək əvəzinə yerini dəyişir.

Xəbərdarlığı təxmin etmədən oxumaq

Sayğaclar və ya nonce-lar haqqında jurnal sətri adətən hücumdan deyil, itirilmiş vəziyyətdən bəhs edir. Bir həmyaşıdın yenidən başladılıb-başladılmadığını, klonlanmış virtual maşının eyni kimliyi təkrar istifadə edib-etmədiyini və iki tərəfin açarın yenilənmə parametrləri barədə razılaşıb-razılaşmadığını yoxlayın. Sonra yeni sessiya qurun və mesajın qayıdıb-qayıtmadığını izləyin.

Diaqnozu əlaqəsiz nasazlıqlardan ayrı saxlayın. Yüklənməyən səhifə və ya döngədə qalan etimadnamə tələbi nonce təkrar istifadəsinin sübutu deyil və onu belə qəbul etmək problemi kriptoqrafik qatda axtarmağa vadar edir, halbuki problem onun üstündədir.

Adi istifadə üçün təhlükəsiz qayda qısadır: nonce-u tətbiq idarə etsin, hər iki tərəfi dəstəklənən versiyalarda saxlayın və istənilən vəziyyət sıfırlamasını dəyəri redaktə etmək üçün deyil, açarı yeniləmək üçün səbəb sayın. Profil sahəsi satıcının sənədlərində yoxdursa, ona dəyər uydurmayın. Tunelin düzəldilməsi hansı qata baxdığınızı bilməklə başlayır.