Mae amgryptio yn cuddio’r data; mae dilysu yn enwi’r cymar
Mae amgryptio’n diogelu cynnwys, mae dilysu’r cymar yn enwi’r gweinydd, ac mae awdurdodi’n penderfynu beth y gall hunaniaeth ei agor. Gofynnwch am y tri mewn dyluniad VPN.
Gall amgryptio heb wirio’r cymar ddanfon sgwrs gyfrinachol at y parti anghywir. Mae dilysu heb awdurdodi’n profi pwy ymunodd, ond nid beth y caiff ei agor. Mae’r rhain yn dri rheolaeth ar wahân, ac mae adolygiad VPN sy’n gofyn yn unig am y seiffr yn ateb un ohonynt. Trefnwch y cwestiynau cyn agor unrhyw dudalen osodiadau.
Pedwar cwestiwn cyn ei alw’n ddiogel
Mae pedwar cwestiwn yn fframio’r adolygiad: beth all arsylwyr ei ddarllen, pa weinydd sy’n ateb, pwy sy’n ymuno, a beth y caiff y hunaniaeth honno ei ddefnyddio. Mae amgryptio’n ateb y cyntaf, dilysu’r cymar yr ail, dilysu defnyddiwr neu ddyfais y trydydd, ac awdurdodi’r olaf. Mae enw seiffr neu fewngofnodi llwyddiannus yn ateb rhannol yn unig.
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
Nid yw dyluniad sy’n gadael un rhes heb ei thrin yn dod yn ddiogel drwy atgyfnerthu un arall. Mae’r rheolaethau’n ategu ei gilydd, nid yn gyfnewidiol.
Nid yw dilysu’r cymar yn fewngofnodi
Mae’r cleient yn gwirio mai’r gweinydd yw’r un a fwriadwyd, gan ddefnyddio tystysgrifau a ffurfweddwyd, allweddi cyhoeddus neu fecanwaith arall a gefnogir. Nid yw awdurdod tystysgrifau dibynadwy yn gwneud pob tystysgrif a gyhoeddodd erioed yn weinydd cywir, felly mae’r gwiriad hunaniaeth yn parhau i fod yn bwysig. Nid yw teipio cyfrinair dilys i bwynt terfyn heb ei wirio yn gwneud y pwynt hwnnw’n ddibynadwy. Dim ond profi yr oeddech yn barod i ddilysu i bwy bynnag a atebodd y mae’r cyfrinair yn ei wneud.
Mae WireGuard yn dangos yr un syniad gyda dodrefn gwahanol: mae allwedd cymar a ffurfweddwyd yn gwneud gwiriad hunaniaeth heb anogydd tystysgrif ar ffurf porwr. Mae cyfrinach a rennir y gŵyr llawer o ddefnyddwyr amdani yn nodi’r grŵp yn fwy nag unrhyw unigolyn, a dyna pam mae tystlythyr dyfais unigryw yn aml yn cario hunaniaeth gryfach.
Mae amgryptio dilysedig yn derm cryptograffig
Mae amgryptio dilysedig yn golygu bod y seiffr yn diogelu cyfrinachedd ac yn canfod newidiadau heb awdurdod. Nid yw’n golygu bod person wedi mewngofnodi, ac nid yw’n penderfynu pa ffeiliau y caiff cyfrif eu hagor. Mae enw swît seiffr yn disgrifio adeiladwaith, nid perthynas rhwng dau barti. Mae cyfanrwydd pecynnau, hunaniaeth y cymar a chaniatadau cyfrif yn ofynion cysylltiedig â thystiolaeth ar wahân.
Proffil ymddiriedaeth RFC 5280 yw’r cyfeirlyfr ar gyfer llwybrau tystysgrifau a gwiriadau hunaniaeth pan fo’r defnyddiad yn defnyddio X.509. Mae ei ddarllen yn fwy defnyddiol na thrin y gair dilysedig fel cyfystyr i ddiogel.
Darllenwch y methiant cyn gwanhau rheolaeth
Mae gan dystysgrif sydd wedi dod i ben, cloc system anghywir a hunaniaeth gweinydd annisgwyl eu cywiriad eu hunain. Mae gan gyfrif a wrthodwyd un arall. Os yw’r gweinydd wedi newid yn gyfreithlon, cewch y deunydd ymddiriedaeth diweddaraf gan y gweithredwr dilys. Mae tynnu’r gwiriad hunaniaeth er mwyn i’r tiwnel gysylltu yn cyfnewid methiant gweladwy am un anweladwy.
Diogelwch y tystlythyrau y mae’r tiwnel yn dibynnu arnynt. Gall proffil ddal allwedd breifat, a gall cyfrinair a gadwyd roi mynediad o bell. Pan fo un yn gollwng, defnyddiwch broses rheoli cyfrif neu allweddi’r gwasanaeth, oherwydd nid yw dewis gwlad wahanol yn eiriadur y cleient yn dirymu’r hen hunaniaeth.