Заявы пра шыфраванне VPN: што павінна паведамляць дакументацыя

Паглядзіце на вялікі лік побач з назвай алгарытма і спытайце, што ён насамрэч вымярае. Ён не кажа, якое злучэнне абаронена, які пратакол забяспечвае абарону або якія налады падтрымлівае ваш кліент. Старонка, якая не можа прывязаць сваю заяву да аднаго з гэтага, — гэта рэклама, а не дакументацыя. Праверкі ніжэй — гэта парадак чытання для любога падсумавання, якое вам далі, і першая заява, якую вы не можаце прывязаць да пэўнага злучэння, — месца, дзе трэба спыніцца.

Вызначце, якое злучэнне ахоплівае заява

Адна старонка прадукту можа разглядаць шыфраванне тунеля, HTTPS да партала ўліковага запісу і шыфраванне захаваных даных у адным абзацы. Гэта розныя шляхі і розныя сістэмы захоўвання, таму ўласцівасць аднаго нічога не кажа пра іншыя. Вызначце, пра якое з трох ідзе гаворка ў сказе, перш чым параўноўваць яго з канкурэнтам. Адно і тое ж слова, шыфраванне, з'яўляецца ва ўсіх трох кантэкстах і кожны раз азначае рознае.

Для самога тунеля шукайце дакументаваны пратакол і дакументаваны набор падтрымліваных параметраў бяспекі. Гэтыя тры пазнакі не ўзаемазаменныя: набор па змаўчанні пастаўляецца без вашага выбару, неабавязковы рэжым дзейнічае толькі тады, калі яго выбірае профіль, а ўзгоднены вынік — гэта тое, пра што бакі дамовіліся пры падключэнні. Пастаўшчык, які размывае гэтыя межы, паведаміў вам менш, чым выглядае.

Праверце пратакол і набор, які ён дапускае

Пачынайце з профілю кліента, а не з параўнальнай графікі. Профіль называе пратакол, а пратакол вырашае, якія наборы наогул магчымыя, як паказваюць два распаўсюджаныя выпадкі.

Спіс прапаноў IKEv2 — гэта меню, з якога выбірае шлюз, таму набор, які вы атрымаеце, можа адрознівацца паміж двума шлюзамі з аднолькавымі наладамі кліента. У WireGuard такога меню няма, што робіць яго заяву прасцейшай для праверкі і вузейшай для апісання. Ні адна, ні другая схема самі па сабе не мацнейшыя; сэнс у тым, што дакументацыя павінна сказаць, якая з іх маецца на ўвазе.

Адна назва шыфра таксама апускае аўтэнтыфікацыю, усталяванне ключоў, выкрыццё метаданых і тэрмін захоўвання. Сучасныя канструкцыі спалучаюць шыфраванне і цэласнасць у адным наборы, а старыя іх раздзяляюць, таму згадка адной назвы алгарытма можа схаваць, якую ўласцівасць вы насамрэч атрымліваеце. Патрабуйце палітыку ўзгаднення ў пісьмовым выглядзе, калі старонка яе не ўказвае.

Праверце аўтэнтыфікацыю боку і стан абнаўлення

Аўтэнтыфікацыя суразмоўцы належыць да заявы, нават калі маркетынгавы тэкст яе прапускае. Моцнае шыфраванне да неправеранага атрымальніка — не той вынік, які хтосьці меў на ўвазе, а тунель, які не можа сказаць, хто адказаў, абараняе менш, чым выглядае. Шукайце, як кліент правярае сервер: ланцуг сертыфікатаў, замацаваны ключ або загадзя агучаны сакрэт. Гэта розныя мадэлі даверу з рознымі рэжымамі адмовы.

Затым праверце рэалізацыю і яе стан абнаўлення, бо дакументаваны шыфр у неабноўленым кліенце апісвае версію, якую вы, магчыма, не выкарыстоўваеце. Апублікаваныя абмежаванні ад аўтараў пратакола варта чытаць з той жа прычыны. Кліент, які не абнаўляўся год, робіць іншую заяву, чым старонка перад вамі.

Праверце, дзе заканчваецца тунель

Тунель ад кліента да сервера заканчваецца на серверы VPN. Шыфраванне прыкладання, напрыклад HTTPS да сэрвісу за ім, можа абараняць трафік далей па маршруце, а пасля сервера яно можа застацца адзінай абаронай. Прачытайце тлумачэнне аператара пра канчатковыя пункты і вызначце, да якога з гэтых узроўняў адносіцца заява.

Палітыка журналавання і адсочванне ўліковага запісу цалкам знаходзяцца па-за шыфраваннем. Аператар можа перадаваць зашыфраваны змест, назіраючы за часам, адрасамі і аб'ёмам, таму заява пра канфідэнцыйнасць карыснай нагрузкі нічога не адказвае пра тое, што запісваецца. Разглядайце тэрмін захоўвання як асобнае пытанне з уласнымі доказамі.

Запішыце, чаго дакументацыя не кажа

Калі ўласцівасць адсутнічае, запішыце, што яна адсутнічае, замест таго каб выводзіць яе з назвы або рэпутацыі праграмы. Аўдыт ахоплівае толькі тыя ўласцівасці і кампаненты, якія ён насамрэч даследаваў, а прабел у дакументацыі — гэта знаходка сама па сабе. Запішыце прабел, пакуль яшчэ памятаеце, якая старонка яго стварыла.

На машыне, якой вы кіруеце, прачытайце набор з жывой сесіі, выкарыстоўваючы старонку стану кліента або спіс асацыяцый бяспекі на шлюзе, і зафіксуйце гэтае значэнне побач з версіяй кліента. Гэты запіс робіць заяву пастаўшчыка чымсьці параўнальным пазней, калі абнаўленне зменіць узгоднены вынік. Калі кліент і дакументацыя разыходзяцца, давярайце ўзгодненаму выніку і паведаміце пра разыходжанне, а не ўзгадняйце яго маўчком.