Твърдения за VPN криптиране: какво трябва да казва документацията

Погледнете голямото число до името на алгоритъм и се запитайте какво всъщност измерва то. То не ви казва коя връзка е защитена, кой протокол осигурява защитата или кои настройки поддържа вашият клиент. Страница, която не може да обвърже твърдението си с едно от тези, е реклама, а не документация. Проверките по-долу са ред за четене на каквото и обобщение да ви дадат, и първото твърдение, което не можете да прикачите към конкретна връзка, е мястото, където да спрете.

Определете коя връзка покрива твърдението

Една продуктова страница може да обсъжда криптиране на тунела, HTTPS към портала на акаунта и криптиране на съхранени данни в един абзац. Това са различни пътища и различни системи за съхранение, така че свойство на едното не казва нищо за другите. Решете за кое от трите е изречението, преди да го сравните с конкурент. Една и съща дума, криптиране, се среща и в трите контекста и всеки път означава различно нещо.

За самия тунел търсете документиран протокол и документиран набор от поддържани настройки за сигурност. Тези три етикета не са взаимозаменяеми: наборът по подразбиране се доставя, без вие да го избирате, опционалният режим важи само ако профилът го избере, а договореният резултат е това, за което двете страни са се разбрали при свързването. Доставчик, който ги размива, ви е казал по-малко, отколкото изглежда.

Проверете протокола и набора, който той допуска

Започнете от профила на клиента, а не от сравнителна графика. Профилът назовава протокола, а протоколът решава кои набори изобщо са възможни, както показват двата обичайни случая.

Списъкът с предложения за IKEv2 е меню, от което шлюзът избира, така че наборът, който получавате, може да се различава между два шлюза с идентични настройки на клиента. WireGuard няма такова меню, което прави твърдението му по-лесно за проверка и по-тясно за описване. Нито едната, нито другата подредба е по-силна сама по себе си; смисълът е, че документацията трябва да каже коя има предвид.

Името на шифър само по себе си също пропуска удостоверяването, установяването на ключ, излагането на метаданни и срока на съхранение. Модерните конструкции съчетават криптиране и цялост в един набор, докато по-старите ги разделят, така че цитирането на едно име на алгоритъм може да скрие какво свойство всъщност получавате. Поискайте писмена политика за договаряне, когато страницата не я посочва.

Проверете удостоверяването на отсрещната страна и състоянието на обновяване

Удостоверяването на отсрещната страна принадлежи към твърдението, дори когато маркетинговият текст го пропуска. Силното криптиране към неудостоверен получател не е резултатът, който някой е имал предвид, а тунел, който не може да ви каже кой е отговорил, защитава по-малко, отколкото изглежда. Търсете как клиентът валидира сървъра: верига от сертификати, закрепен ключ или предварително споделена тайна. Това са различни модели на доверие с различни режими на отказ.

След това проверете реализацията и състоянието ѝ на обновяване, защото документиран шифър в необновен клиент описва версия, която може да не използвате. Публикуваните ограничения от авторите на протокола си струва да се прочетат по същата причина. Клиент, който не е обновяван от година, прави различно твърдение от страницата пред вас.

Проверете къде свършва тунелът

Тунелът от клиент към сървър свършва на VPN сървъра. Криптирането на приложението, например HTTPS към услугата зад него, може да защити трафика по-нататък по маршрута, а след сървъра то може да е единствената останала защита. Прочетете обяснението на оператора за крайните точки и решете към кой от тези слоеве се отнася твърдението.

Политиката за журналиране и проследяването на акаунта стоят напълно извън криптирането. Операторът може да пренася криптирано съдържание, докато наблюдава времето, адресите и обема, така че твърдение за поверителността на полезния товар не отговаря нищо за това какво се записва. Третирайте срока на съхранение като отделен въпрос със собствени доказателства.

Запишете какво документацията не казва

Когато дадено свойство липсва, запишете, че липсва, вместо да го извеждате от името или репутацията на софтуера. Одитът покрива само свойствата и компонентите, които действително е прегледал, а пропуск в документацията е находка сама по себе си. Запишете пропуска, докато още помните коя страница го е породила.

На машина, която контролирате, прочетете набора обратно от живата сесия, като използвате страницата за състояние на клиента или списъка със защитни асоциации на шлюза, и запишете тази стойност до версията на клиента. Този запис превръща твърдението на доставчика в нещо сравнимо по-късно, когато обновяване промени договорения резултат. Ако клиентът и документацията се разминават, доверете се на договорения резултат и съобщете за разминаването, вместо да го изглаждате мълчаливо.