Beth mae allwedd a rennir ymlaen llaw yn ei wneud yn IPsec, OpenVPN a WireGuard

Mae'r geiriau allwedd a rennir ymlaen llaw yn ymddangos yn nogfennaeth IPsec, OpenVPN a WireGuard, ond maent yn disgrifio tri gwrthrych gwahanol. Mae un yn gyfrinach dilysu, mae un arall yn amddiffyn sianel reoli, ac mae'r trydydd yn ychwanegu deunydd at ysgwyd llaw sydd eisoes â hunaniaethau. Os cânt eu trin fel pethau cyfnewidiol, ceir cysylltiad sy'n methu ar gam na ddisgwyliodd neb. Darllenwch beth mae'r maes yn ei wneud yn y protocol hwnnw cyn copïo gwerth i mewn iddo.

Tri phrotocol, tair ystyr

Mae pob protocol yn diffinio tasg yr allwedd yn ei fanyleb ei hun, ac nid yw'r tasgau'n gorgyffwrdd. Mae cyfrinach dilysu'n profi bod dau gymar yn gwybod yr un gwerth. Mae allwedd y sianel reoli'n amddiffyn y trafodaethau sy'n dilyn. Mae ychwanegiad i'r ysgwyd llaw yn newid yr amserlen allweddi heb newid pwy yw'r cymheiriaid.

Nid oes unrhyw un o'r rolau hyn yn dilysu dyn, a'r cymysgedd hwnnw sy'n costio'r mwyaf o amser. Gosodir allwedd a rennir ymlaen llaw ar ddyfeisiau neu ar byrth cyn y cyfnewid, felly mae pob deiliad yn edrych yr un fath i'r ochr arall. Mae'r briodwedd honno'n fantais ar gyfer cysylltiad rhwng dau lwybrydd ac yn risg ar gyfer gwasanaeth mynediad o bell â gweithwyr a enwir. Cadwch gymhwyster y cyfrif a'r gyfrinach grifftograffig mewn colofnau ar wahân yn y ddogfen sy'n disgrifio'r defnydd.

Mae IPsec ac OpenVPN yn defnyddio'r gair yn wahanol

Gall IKEv2 ddilysu cymar â chyfrinach a rennir ymlaen llaw yn lle tystysgrifau, ac mae'n rhaid i'r gwerth gyd-fynd ar y ddwy ochr. Gan fod yr un gyfrinach fel arfer yn cael ei chyflunio ar gyfer grŵp o gymheiriaid, gall unrhyw ddeiliad esgus bod yn y lleill, ac nid yw'r cyfnewid yn ennill unrhyw gyfrinachedd ymlaen o allweddi hunaniaeth nad oedd ganddo erioed.

Mae opsiynau tls-auth a tls-crypt OpenVPN yn cysylltu allwedd statig â'r sianel reoli, gan ychwanegu llofnod HMAC neu amgryptio'r trafodaethau eu hunain. Nid yw'r allwedd honno'n gyfrinair defnyddiwr ac nid yw'n disodli tystysgrif y cleient. Mae'r gwahaniaeth yn bwysig wrth adnewyddu, pan fydd newid cyfrinair yn gadael allwedd y sianel reoli heb ei chyffwrdd.

Mae PSK WireGuard yn ychwanegu, nid yw'n adnabod

Mae gan gymheiriaid WireGuard allweddi cyhoeddus a phreifat Curve25519 yn barod, ac mae'r ysgwyd llaw yn dilysu'r hunaniaethau hynny. Mae allwedd a rennir ymlaen llaw yn ddewisol yn cael ei chymysgu i mewn i'r allwedd gadwyn ac yn cyfrannu deunydd cymesur uwchben cyfnewid yr allweddi cyhoeddus.

Nid yw'n darparu hunaniaeth ei hun nac yn rhoi cyfrif defnyddiwr, felly ni all gweithredwr wahaniaethu dau ddeiliad wrth eu PSK. Rhaid i'r ddwy ochr gario'r un gwerth, neu bydd yr ysgwyd llaw yn methu heb neges gwall ddefnyddiol. Dyna pam mae'n rhaid cynllunio'r cylchdro ar gyfer y ddwy ochr ar unwaith yn hytrach nag fel golygu un ffeil.

Gwiriwch ddosbarthiad, cylchdro a thynnu

Dosbarthiad yw'r man gwan ym mhob dyluniad sy'n defnyddio un gyfrinach mewn llawer o leoedd. Mae gwerth a ludiwyd i ffenestr sgwrs, a storiwyd mewn storfa neu a ailddefnyddiwyd rhwng amgylcheddau yn casglu copïau na all neb eu rhifo, ac mae pob copi'n ehangu'r maes difrodi'n dawel.

Nid yw testun Base64 yn amgryptio. Mae cyfrinach a gedwir wrth ymyl tystysgrif gyhoeddus yn yr un cyfeiriadur yn dal yn gyfrinach mewn ffurf glir.

openssl rand -base64 32
sudo wg show wg0 preshared-keys
sudo grep -R -n 'psk' /etc/ipsec.d/ 2>/dev/null

Cylchdroi yn ôl amserlen ac ar ôl unrhyw amlygiad a amheuir, gan ddiweddaru pob cymar a fwriadwyd cyn diddymu'r hen werth. Yna profwch y cysylltiad o'r ddau ben, oherwydd mae allwedd nad yw'n cyfateb yn methu wrth yr ysgwyd llaw ac yn edrych yn union fel problem mur tân.

Dogfennwch pa gyfrinach sy'n amddiffyn pa gam, fel na fydd ailosod cyfrinair byth yn cael ei gamgymryd am adnewyddu allwedd grifftograffig. Mae'r un llinell honno'n arbed awr bob tro y bydd rhywun yn archwilio'r defnydd.