Öncədən paylaşılan açar IPsec, OpenVPN və WireGuard-da nə edir

Öncədən paylaşılan açar sözləri IPsec, OpenVPN və WireGuard sənədlərində rast gəlinir, lakin üç fərqli obyekti təsvir edir. Biri doğrulama sirridir, biri nəzarət kanalını qoruyur, üçüncüsü isə artıq kimlikləri olan əl sıxışmaya material əlavə edir. Onları bir-birini əvəz edən hesab etsək, heç kimin gözləmədiyi mərhələdə uğursuz olan bağlantı alarıq. Dəyəri ora köçürməzdən əvvəl sahənin həmin protokolda nə etdiyini oxuyun.

Üç protokol, üç məna

Hər protokol açarın vəzifəsini öz spesifikasiyasında müəyyən edir və bu vəzifələr üst-üstə düşmür. Doğrulama sirri iki tərəfin eyni dəyəri bildiyini sübut edir. Nəzarət kanalının açarı sonrakı danışıqları qoruyur. Əl sıxışmaya əlavə olunan hissə tərəflərin kim olduğunu dəyişmədən açar cədvəlini dəyişir.

Bu rolların heç biri insanı doğrulamır və ən çox vaxt itirən qarışıqlıq məhz budur. Öncədən paylaşılan açar mübadilədən əvvəl cihazlara və ya şlüzlərə yerləşdirilir, buna görə hər sahib qarşı tərəfə eyni görünür. Bu xassə iki marşrutlaşdırıcı arasındakı bağlantı üçün üstünlük, adları məlum işçiləri olan uzaqdan giriş xidməti üçün isə riskdir. Hesab etimad məlumatını və kriptoqrafik sirri yerləşdirməni təsvir edən sənədin ayrı sütunlarında saxlayın.

IPsec və OpenVPN sözü fərqli işlədir

IKEv2 qarşı tərəfi sertifikat yerinə öncədən paylaşılan sirrlə doğrulaya bilər və dəyər hər iki tərəfdə üst-üstə düşməlidir. Eyni sirr adətən tərəflər qrupu üçün qurulduğundan istənilən sahib digərlərinin yerinə keçə bilər və mübadilə heç vaxt malik olmadığı kimlik açarlarından irəliyə doğru məxfilik qazanmır.

OpenVPN-in tls-auth və tls-crypt seçimləri nəzarət kanalına statik açar bağlayır, ya HMAC imzası əlavə edir, ya da danışıqların özünü şifrələyir. Bu açar istifadəçi parolu deyil və müştəri sertifikatını əvəz etmir. İkisini ayırmaq yeniləmə zamanı vacibdir, çünki parol dəyişikliyi nəzarət kanalının açarını toxunulmaz qoyur.

WireGuard-ın PSK-sı əlavə edir, şəxsiyyət vermir

WireGuard tərəflərinin artıq Curve25519 açıq və şəxsi açarları var və əl sıxışma bu kimlikləri doğrulayır. İstəyə bağlı öncədən paylaşılan açar zəncir açarına qarışdırılır və açıq açarların mübadiləsinin üzərinə simmetrik material qatır.

Tək başına nə şəxsiyyət, nə də istifadəçi hesabı verir, buna görə operator iki sahibi PSK-larına görə ayıra bilməz. Hər iki tərəf eyni dəyəri daşımalıdır, əks halda əl sıxışma faydalı xəta mesajı olmadan uğursuz olur. Buna görə rotasiya bir faylın redaktəsi kimi deyil, hər iki tərəf üçün eyni vaxtda planlaşdırılmalıdır.

Paylanmanı, rotasiyanı və çıxarılmanı yoxlayın

Paylanma bir sirri çox yerdə istifadə edən hər layihənin zəif nöqtəsidir. Söhbət pəncərəsinə yapışdırılan, anbarda saxlanılan və ya mühitlər arasında təkrar istifadə olunan dəyər heç kimin saya bilmədiyi nüsxələr toplayır və hər nüsxə zərər sahəsini səssizcə genişləndirir.

Base64 mətni şifrələmə deyil. Eyni qovluqda açıq sertifikatın yanında saxlanılan sirr hələ də açıq mətndə olan sirrdir.

openssl rand -base64 32
sudo wg show wg0 preshared-keys
sudo grep -R -n 'psk' /etc/ipsec.d/ 2>/dev/null

Cədvəl üzrə və hər şübhəli ifşadan sonra rotasiya edin, köhnə dəyəri geri götürməzdən əvvəl nəzərdə tutulan hər tərəfi yeniləyin. Sonra bağlantını hər iki tərəfdən yoxlayın, çünki uyğun gəlməyən açar əl sıxışmada uğursuz olur və tam olaraq güvənlik divarı problemi kimi görünür.

Hansı sirrin hansı mərhələni qoruduğunu sənədləşdirin, belə ki parol sıfırlaması heç vaxt kriptoqrafik açarın yenilənməsi ilə qarışdırılmasın. O tək sətir hər dəfə kimsə yerləşdirməni yoxlayanda bir saat qazandırır.