Mae eich cyfrinair VPN mor breifat â’i wiriedydd

Ewch drwy bedwar cwestiwn am unrhyw fewngofnodi VPN: beth sy’n diogelu’r cyfrinair wrth deithio, pa gydran sy’n ei dderbyn, beth mae’r gydran honno’n ei wneud ag ef, a beth sy’n cael ei storio wedyn. Mae pob ateb yn rheolaeth wahanol, ac nid yw ateb cryf i un yn dweud dim am y lleill. Y camgymeriad yw trin amgryptio twnnel fel petai’n cwmpasu’r pedwar. Mae’n cwmpasu’r cyntaf, a’r cyntaf yn unig.

Gofynnwch pwy sy’n terfynu’r sesiwn yn hytrach nag a yw’r sesiwn wedi’i hamgryptio.

Wedi’i hamgryptio i bwy, yn union?

Mae TLS yn diogelu’r cyfrinair rhwng y cleient a’r hyn sy’n terfynu’r cysylltiad. Os mai’r pwynt terfyn hwnnw yw porth VPN, mae cod dilysu’r borth yn gweld y cyfrinair mewn testun plaen, yn ei ddilysu, ac yn ei drosglwyddo ef neu werth deilliedig ymlaen. Dyna’r dyluniad a fwriadwyd, nid gollyngiad. Nid yw arsylwr rhwydwaith ar y llwybr yn dysgu dim defnyddiol, ac mae’r gydran sy’n gwneud y gwirio yn dysgu popeth y mae ei angen.

Mae cymuned OpenVPN yn dogfennu hyn yn benodol: mae auth-user-pass-verify yn trosglwyddo’r manylion a gyflwynwyd i sgript neu ategyn gwirio. Trosglwyddiad bwriadol rhwng cydrannau yw hwn, ac mae’n perthyn i’r model ymddiriedaeth fel parti a enwir.

Mae’r gwiriedydd yn gweld y cyfrinair

Unwaith y bydd cydran yn derbyn cyfrinair i’w wirio, ei rheolaethau mynediad, ei logio a’i hansawdd cod sy’n penderfynu a yw’r gyfrinach yn aros yn gaeedig. Mae sgript sy’n ysgrifennu’r manylion i log, neu ategyn sy’n ei storio yn y cache, yn creu datguddiad llawer mwy nag a wnaeth y protocol. Mae mynediad yn dibynnu ar bensaernïaeth a rolau yn hytrach nag ar y twnnel, a dyna pam mae perchennog gwasanaeth sy’n rheoli’r gwiriedydd yn perthyn i’r asesiad.

Mae gwahanol ddulliau’n datgelu gwahanol ddeunydd. Mae dilysu tystysgrif yn profi allwedd breifat heb ei hanfon, a gall llif ffederasiwn gadw’r cyfrinair gyda’r darparwr hunaniaeth wrth gyhoeddi honiad cyfyngedig i’r VPN. Mae’r dyluniadau hynny’n culhau’r cylch; nid yw’r un ohonynt yn dileu pob parti ymddiried.

Mae hashes wedi’u storio yn gwarchod cam gwahanol

Mae canllawiau NIST yn gwahanu trosglwyddiad gwarchodedig oddi wrth storio gwiriedydd gwydn. Mae halen a chynllun hash â chost yn mynd i’r afael â’r bygythiad i wiriedydd sydd wedi’i storio, sef yr hyn sy’n digwydd ar ôl y ffaith os yw cronfa ddata’n gollwng. Nid ydynt yn gwneud dim i gydran amser rhedeg sy’n rhaid derbyn y mewnbwn i’w gymharu. Mae darllen y canllawiau fel petai’n addo cyfrinachedd amser rhedeg yn gamgymeriad categori.

Felly gall stôr cyfrinair sydd wedi’i hashio’n dda a sgript wirio agored gydfodoli mewn un cynnyrch heb wrthddywediad.

Dewis dull sy’n culhau’r cylch

Os mai’r gofyniad yw na fydd y porth byth yn derbyn cyfrinair y gellir ei ailddefnyddio, dewiswch ddull sy’n gwarantu hynny mewn gwirionedd; nid yw newid seiffr data yn creu’r briodwedd honno. Mae gwirio tystysgrif gweinydd VPN yn dweud wrthych ba gyfoed y gwnaethoch ei gyrraedd; nid yw’n dweud dim am sut mae’r cyfoed hwnnw’n trin manylion wedyn. Cadwch y gwirio gweinydd, defnyddiwch fanylion gwahanol ar gyfer pob gwasanaeth, a dilynwch lif hunaniaeth a gefnogir gan y sefydliad.

Cofnodwch y parti sy’n derbyn y cyfrinair, y parti sy’n ei ddilysu a’r ffurf y’i cedwir ynddi. Mae’r tri ateb hynny’n perthyn wrth ymyl y proffil cysylltiad, oherwydd maent yn goroesi unrhyw dwnnel penodol.

Nid y cwestiwn defnyddiol yw a yw’r cyfrinair wedi’i amgryptio, ond oddi wrth bwy y’i cedwir, pa gydran sy’n ei dderbyn, a pha ffurf sy’n goroesi wedyn.