El xifrat amaga les dades; l’autenticació identifica el parell
El xifrat protegeix el contingut, l’autenticació del parell identifica el servidor i l’autorització decideix què pot obrir una identitat. Pregunteu les tres coses en un disseny de VPN.
El xifrat sense una comprovació del parell pot lliurar una conversa confidencial a la part equivocada. L’autenticació sense autorització demostra qui s’ha connectat, però no què pot obrir. Són tres controls separats, i una revisió de VPN que només pregunta pel xifratge respon a un d’ells. Ordeneu les preguntes abans de llegir qualsevol pàgina de configuració.
Quatre preguntes abans de qualificar-ho de segur
Quatre preguntes emmarquen la revisió: què poden llegir els observadors, quin servidor respon, qui s’hi connecta i què pot fer servir aquesta identitat. El xifrat respon la primera, l’autenticació del parell la segona, l’autenticació d’usuari o dispositiu la tercera i l’autorització l’última. El nom d’un xifratge o un inici de sessió correcte és una resposta parcial.
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
Un disseny que deixa una fila sense tractar no es fa segur reforçant-ne una altra. Els controls són complementaris, no intercanviables.
L’autenticació del parell no és un inici de sessió
El client verifica que el servidor sigui el que volia, mitjançant certificats configurats, claus públiques o un altre mecanisme admès. Una autoritat de certificació de confiança no converteix cada certificat que ha emès mai en el servidor correcte, així que la comprovació d’identitat continua important. Escriure una contrasenya vàlida en un punt final no verificat no fa que aquell punt sigui fiable. La contrasenya només demostra que estàveu disposat a autenticar-vos davant qui hagués respost.
WireGuard mostra la mateixa idea amb una altra forma: una clau de parell configurada fa una comprovació d’identitat sense cap finestra de certificat a l’estil del navegador. Un secret compartit que coneixen molts usuaris identifica més el grup que no pas una persona, i per això una credencial única de dispositiu sovint porta una identitat més forta.
El xifrat autenticat és un terme criptogràfic
El xifrat autenticat vol dir que el xifratge protegeix la confidencialitat i detecta canvis no autoritzats. No vol dir que una persona hagi iniciat sessió, ni decideix quins fitxers pot obrir un compte. El nom d’un conjunt de xifratge descriu una construcció, no una relació entre dues parts. La integritat dels paquets, la identitat del parell i els permisos del compte són requisits relacionats amb proves separades.
El perfil de confiança RFC 5280 és la referència per als camins de certificats i les comprovacions d’identitat quan el desplegament fa servir X.509. Llegir-lo és més útil que tractar la paraula autenticat com a sinònim de segur.
Llegiu la fallada abans d’afeblir un control
Un certificat caducat, un rellotge del sistema incorrecte i una identitat de servidor inesperada tenen cadascun la seva correcció. Un compte rebutjat en té una altra. Si el servidor ha canviat legítimament, obteniu el material de confiança actualitzat de l’operador verificat. Treure la comprovació d’identitat perquè el túnel es connecti canvia una fallada visible per una d’invisible.
Protegiu les credencials de què depèn el túnel. Un perfil pot contenir una clau privada, i una contrasenya desada pot atorgar accés remot. Quan una es filtra, feu servir el procés de gestió del compte o de les claus del servei, perquè triar un altre país al directori del client no revoca la identitat antiga.