Allwedd a rannwyd ymlaen llaw IPsec: y beitiau y tu ôl i’r llinyn a deipiwyd gennych

Mae dau weinyddwr yn cymharu’r gyfrinach ar y sgrin, yn cytuno ei bod yn cyfateb, ac mae’r twnnel yn dal i fethu â dilysu. Nid y llinyn maen nhw wedi’i gymharu yw’r gwerth y mae’r naill ben na’r llall yn ei fwydo i mewn i’r deilliant allwedd. Rhwng y cymeriadau a welwch a’r beitiau y mae’r protocol yn eu hasio, mae yna fath maes, amgodio testun, golygydd a chlipfwrdd, a gall unrhyw un o’r pedwar newid y mewnbwn heb newid sut y mae’n edrych. Cymharwch y beitiau, ac mae’r anghytundeb fel arfer yn ymddangos mewn eiliadau.

Beth mae’r porth yn ei wneud â’r llinyn

Nid yw allwedd a rannwyd ymlaen llaw yn cael ei hanfon dros y wifren a’i chymharu. Mae pob pen yn bwydo ei gopi lleol i mewn i’r deilliant allwedd ar gyfer cyfnewid IKE, ac mae’r llwythi dilysu sy’n deillio naill ai’n gwirio neu ddim. Mae’r dyluniad hwnnw’n golygu bod yn rhaid i’r ddau gopi fod yn union yr un fath o ran beitiau yn hytrach nag yn debyg yn weledol, ac mae hefyd yn golygu bod y methiant yn cael ei adrodd ar gam dilysu yn hytrach nag fel neges cyfrinair anghywir.

Felly nid y cwestiwn defnyddiol yw “ydyw’r rhain yn edrych yr un fath” ond “pa ddilyniant beitiau union gywir y mae pob gweithrediad yn ei hasio”.

O ble mae beitiau ychwanegol yn dod

Llinell newydd ar y diwedd yw’r tramgwyddwr clasurol, ac mae’n cuddio yn yr amlwg oherwydd bod y rhan fwyaf o olygyddion yn ychwanegu un yn anweledig wrth arbed ffeil. Mae bwlch ar y dechrau neu’r diwedd a lapiwyd o ffenestr sgwrs yn gwneud yr un peth, ac felly hefyd dyfynnod craff a ddisodlwyd gan un syth gan brosesydd geiriau. Nid oes yr un o’r rhain yn newid y gymhariaeth weledol y mae person yn ei chyflawni.

Cymharwch ag offeryn sy’n dangos beitiau yn hytrach na glyffau. Mae printf '%s' "$PSK" | xxd | tail -2 yn argraffu cynffon y gwerth mewn hecsadegol, lle mae 0a neu 20 crwydrol yn amlwg. Gwnewch hyn ar y ddau ben a chymharwch y ddau ddymp ochr yn ochr. Gwnewch hyn ar ddeunydd prawf a gynhyrchwyd, nid ar gyfrinach gynhyrchu a adewch wedyn yn hanes y plisgyn.

Nid yw wedi’i amgodio yn golygu wedi’i amgryptio

Mae allfeydd ffurfweddu yn aml yn cario’r gyfrinach mewn amgodio sylfaen, weithiau gyda thorriadau llinell bob chwe deg neu saith deg chwech o gymeriadau ac weithiau gyda phadin. Os yw un pen yn disgwyl y beitiau wedi’u datgodio ac rydych chi’n gludo’r testun amgodiedig, nid ydych chi wedi anfon cyfrinair gwahanol, rydych chi wedi anfon un llawer hirach wedi’i wneud o gymeriadau printadwy. Nid yw Base64 yn darparu unrhyw gyfrinachedd o gwbl, a dyna hefyd pam na ddylid byth gludo cyfrinach amgodiedig mewn fforwm i gael ail farn.

Mae geiriadur IPSec Apple yn enghraifft ddefnyddiol o bwysigrwydd math: mae’n dogfennu SharedSecret fel data ar gyfer y dull dilysu cyfrinach a rannwyd yn llwythi L2TP a Cisco IPsec. Mae hwnnw’n briodwedd benodol mewn llwyth penodol, nid maes testun cyffredinol y gallwch ei ailddefnyddio ar gyfer protocol arall sy’n digwydd gofyn am gyfrinach.

Mae terfyn a haerwyd yn perthyn i un cyfuniad

Mae hen adroddiadau am nenfwd o dri deg dau o gymeriadau ar un cleient Apple yn adroddiadau go iawn am un fersiwn cleient, protocol a siâp proffil. Nid ydynt yn derfyn cyffredinol ar gyfer pob platfform Apple, pob darparwr a phob protocol. Gwiriwch y fersiwn, y math llwyth a gofyniad y porth gyda’i gilydd, yna profwch ar drefniant cymeradwy yn hytrach na chasglu o edefyn. Ysgrifennwch y cyfuniad a brofwyd yn y cofnod newid, oherwydd fel arall bydd y person nesaf yn dyfynnu’r un edefyn gyda mwy o hyder nag y mae’n ei haeddu.

Os yw terfyn yn wirioneddol berthnasol, yr ateb yw dyluniad credred a gefnogir sy’n ffitio iddo, nid fersiwn byrrach o gyfrinach gref. Mae cwtogi allwedd gynhyrchu i fodloni terfyn a amcangyfrifwyd yn lleihau ei chryfder yn barhaol ac yn cynhyrchu system nad yw ei dogfennaeth bellach yn cyd-fynd â’i diogelwch.

Trwsiwch y gynrychiolaeth, nid y cryfder

Pan fydd dilysu yn methu ar ôl cadarnhau’r gynrychiolaeth, darllenwch y polisi effeithiol ar gam dilysu: pa ddull sy’n cael ei drafod, pa hunaniaeth cyfoed sy’n cael ei disgwyl, ac a yw’r porth yn cyfateb i’r cysylltiad rydych chi’n meddwl ydyw. Nid yw dyfaliadau gwanach fwyfwy yn ddiagnosis, maent yn ddiraddiad araf gyda thocyn cymorth ynghlwm.

Os na all y credred gofynnol fodloni safon y sefydliad, newidiwch y dyluniad i un a all. Mae cyfrinach a rannwyd ag enctropi digonol, wedi’i chynhyrchu unwaith, wedi’i storio mewn maes a reolir ac na chafodd ei chyhoeddi erioed, yn ateb hollol dda; nid yw fersiwn byrrach ohoni felly.