Šifrování skrývá data; autentizace pojmenovává protistranu
Šifrování chrání obsah, autentizace protistrany určuje server a autorizace rozhoduje, co smí identita otevřít. Ptejte se na všechny tři věci u návrhu VPN.
Šifrování bez ověření protistrany může důvěrný rozhovor doručit nesprávné straně. Autentizace bez autorizace dokazuje, kdo se připojil, ale ne co smí otevřít. Jsou to tři samostatné kontroly a recenze VPN, která se ptá jen na šifru, odpovídá na jednu z nich. Než otevřete jakoukoli stránku nastavení, otázky si seřaďte.
Čtyři otázky, než to nazvete bezpečným
Recenzi rámují čtyři otázky: co mohou pozorovatelé přečíst, který server odpovídá, kdo se připojuje a co smí tato identita používat. Na první odpovídá šifrování, na druhou autentizace protistrany, na třetí autentizace uživatele nebo zařízení a na poslední autorizace. Název šifry nebo úspěšné přihlášení je jen částečná odpověď.
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
Návrh, který nechá jeden řádek neřešený, se nezajistí posílením jiného. Kontroly se doplňují, nejsou zaměnitelné.
Autentizace protistrany není přihlášení
Klient ověřuje, že server je ten zamýšlený, pomocí nakonfigurovaných certifikátů, veřejných klíčů nebo jiného podporovaného mechanismu. Důvěryhodná certifikační autorita nedělá z každého certifikátu, který kdy vydala, správný server, takže kontrola identity zůstává důležitá. Zadání platného hesla do neověřeného koncového bodu z něj nečiní důvěryhodný bod. Heslo dokazuje jen to, že jste byli ochotni se autentizovat tomu, kdo odpověděl.
WireGuard ukazuje stejnou myšlenku jinými prostředky: nakonfigurovaný klíč protistrany provede kontrolu identity bez certifikátního okna ve stylu prohlížeče. Sdílené tajemství známé mnoha uživatelům označuje spíš skupinu než jednotlivce, a proto jedinečný údaj zařízení často nese silnější identitu.
Autentizované šifrování je kryptografický termín
Autentizované šifrování znamená, že šifra chrání důvěrnost a odhaluje neoprávněné změny. Neznamená, že se přihlásil člověk, a nerozhoduje, které soubory smí účet otevřít. Název šifrové sady popisuje konstrukci, ne vztah mezi dvěma stranami. Integrita paketů, identita protistrany a oprávnění účtu jsou související požadavky s oddělenými důkazy.
Profil důvěry RFC 5280 je referencí pro cesty certifikátů a ověřování identity, když nasazení používá X.509. Číst ho je užitečnější než považovat slovo autentizovaný za synonymum bezpečného.
Přečtěte si selhání, než oslabíte kontrolu
Prošlý certifikát, špatné systémové hodiny a neočekávaná identita serveru mají každý svou opravu. Odmítnutý účet má jinou. Pokud se server legitimně změnil, získejte aktualizovaný materiál důvěry od ověřeného provozovatele. Odstranění kontroly identity, aby se tunel připojil, mění viditelné selhání za neviditelné.
Chraňte přihlašovací údaje, na nichž tunel závisí. Profil může obsahovat soukromý klíč a uložené heslo může udělit vzdálený přístup. Když některý unikne, použijte proces správy účtu nebo klíčů služby, protože volba jiné země v adresáři klienta starou identitu neodvolá.