Шыфраванне хавае даныя, аўтэнтыфікацыя называе суразмоўцу
Шыфраванне абараняе змест, аўтэнтыфікацыя суразмоўцы называе сервер, а аўтарызацыя вырашае, што ідэнтычнасць можа адкрыць. Спытайце ўсе тры рэчы ў дызайне VPN.
Шыфраванне без праверкі суразмоўцы можа даставіць канфідэнцыйную размову не таму боку. Аўтэнтыфікацыя без аўтарызацыі даказвае, хто далучыўся, але не што яму можна адкрыць. Гэта тры асобныя сродкі кантролю, і агляд VPN, які пытае толькі пра шыфр, адказвае толькі на адно з іх. Упарадкуйце пытанні, перш чым адкрываць старонку налад.
Чатыры пытанні, перш чым назваць гэта бяспечным
Агляд абрамляюць чатыры пытанні: што могуць прачытаць назіральнікі, які сервер адказвае, хто далучаецца і што гэтай ідэнтычнасці дазволена выкарыстоўваць. На першае адказвае шыфраванне, на другое аўтэнтыфікацыя суразмоўцы, на трэцяе аўтэнтыфікацыя карыстальніка або прылады, на апошняе аўтарызацыя. Назва шыфра або паспяховы ўваход гэта толькі частковы адказ.
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
Дызайн, які пакідае адзін радок без увагі, не робіцца бяспечным ад узмацнення іншага. Гэтыя сродкі дапаўняюць адзін аднаго, а не замяняюць.
Аўтэнтыфікацыя суразмоўцы гэта не ўваход
Кліент правярае, што сервер менавіта той, які меркаваўся, выкарыстоўваючы наладжаныя сертыфікаты, публічныя ключы або іншы падтрыманы механізм. Давераны цэнтр сертыфікацыі не робіць кожны выдадзены ім сертыфікат правільным серверам, таму праверка ідэнтычнасці ўсё яшчэ важная. Увод дзейнага пароля на неправераны пункт не робіць гэты пункт надзейным. Пароль даказвае толькі, што вы гатовыя былі аўтэнтыфікавацца перад тым, хто адказаў.
WireGuard паказвае тую ж ідэю з іншымі прыладамі: наладжаны ключ суразмоўцы выконвае праверку ідэнтычнасці без акна сертыфіката ў стылі браўзера. Агульны сакрэт, вядомы многім карыстальнікам, вызначае хутчэй групу, чым асобу, таму ўнікальныя ўліковыя даныя прылады часта нясуць мацнейшую ідэнтычнасць.
Аўтэнтыфікаванае шыфраванне гэта крыптаграфічны тэрмін
Аўтэнтыфікаванае шыфраванне азначае, што шыфр абараняе канфідэнцыйнасць і выяўляе несанкцыянаваныя змены. Яно не азначае, што чалавек увайшоў, і не вырашае, якія файлы можа адкрыць уліковы запіс. Назва шыфрнага набору апісвае канструкцыю, а не адносіны паміж двума бакамі. Цэласнасць пакетаў, ідэнтычнасць суразмоўцы і дазволы ўліковага запісу звязаныя патрабаванні з асобнымі доказамі.
Профіль даверу RFC 5280 гэта даведнік для шляхоў сертыфікатаў і праверкі ідэнтычнасці, калі разгортванне выкарыстоўвае X.509. Чытаць яго карысней, чым лічыць слова аўтэнтыфікаваны сінонімам да бяспечны.
Прачытайце збой, перш чым паслабляць кантроль
Пратэрмінаваны сертыфікат, няправільны сістэмны гадзіннік і нечаканая ідэнтычнасць сервера маюць кожнае сваё выпраўленне. Адмоўлены ўліковы запіс мае іншае. Калі сервер сапраўды змяніўся, атрымайце абноўленыя матэрыялы даверу ў праверанага аператара. Выдаленне праверкі ідэнтычнасці, каб тунель падключыўся, мяняе бачны збой на нябачны.
Беражыце ўліковыя даныя, ад якіх залежыць тунель. Профіль можа ўтрымліваць прыватны ключ, а захаваны пароль можа даць аддалены доступ. Калі адзін з іх уцёк, скарыстайцеся працэсам кіравання ўліковым запісам або ключамі сэрвісу, бо выбар іншай краіны ў каталогу кліента не адклікае старую ідэнтычнасць.