Verschlüsselung verbirgt die Daten; Authentifizierung benennt die Gegenstelle
Verschlüsselung schützt Inhalte, die Authentifizierung der Gegenstelle benennt den Server, und die Autorisierung entscheidet, was eine Identität öffnen darf. Fragen Sie bei einem VPN-Design alle drei ab.
Verschlüsselung ohne Prüfung der Gegenstelle kann ein vertrauliches Gespräch an die falsche Seite liefern. Authentifizierung ohne Autorisierung beweist, wer beigetreten ist, aber nicht, was er öffnen darf. Das sind drei getrennte Kontrollen, und eine VPN-Bewertung, die nur nach der Verschlüsselung fragt, beantwortet eine davon. Ordnen Sie die Fragen, bevor Sie eine Einstellungsseite öffnen.
Vier Fragen, bevor Sie es sicher nennen
Vier Fragen rahmen die Prüfung: Was können Beobachter lesen, welcher Server antwortet, wer tritt bei, und was darf diese Identität nutzen. Die erste beantwortet die Verschlüsselung, die zweite die Authentifizierung der Gegenstelle, die dritte die Authentifizierung von Benutzer oder Gerät und die letzte die Autorisierung. Ein Verschlüsselungsname oder eine erfolgreiche Anmeldung ist eine Teilantwort.
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
Ein Entwurf, der eine Zeile unbehandelt lässt, wird nicht dadurch sicher, dass eine andere gestärkt wird. Die Kontrollen ergänzen sich, sie sind nicht austauschbar.
Authentifizierung der Gegenstelle ist keine Anmeldung
Der Client prüft, dass der Server der beabsichtigte ist, anhand konfigurierter Zertifikate, öffentlicher Schlüssel oder eines anderen unterstützten Mechanismus. Eine vertrauenswürdige Zertifizierungsstelle macht nicht jedes jemals von ihr ausgestellte Zertifikat zum richtigen Server, deshalb bleibt die Identitätsprüfung wichtig. Ein gültiges Passwort in einen ungeprüften Endpunkt einzugeben macht diesen Endpunkt nicht vertrauenswürdig. Das Passwort beweist nur, dass Sie bereit waren, sich gegenüber dem zu authentifizieren, der geantwortet hat.
WireGuard zeigt dieselbe Idee mit anderem Beiwerk: Ein konfigurierter Gegenstellenschlüssel führt eine Identitätsprüfung ohne browserartige Zertifikatsabfrage durch. Ein gemeinsames Geheimnis, das viele Nutzer kennen, identifiziert eher die Gruppe als eine einzelne Person, weshalb ein eindeutiger Gerätenachweis oft eine stärkere Identität trägt.
Authentifizierte Verschlüsselung ist ein kryptografischer Begriff
Authentifizierte Verschlüsselung bedeutet, dass die Verschlüsselung die Vertraulichkeit schützt und unbefugte Änderungen erkennt. Es bedeutet nicht, dass ein Mensch angemeldet ist, und es entscheidet nicht, welche Dateien ein Konto öffnen darf. Der Name einer Verschlüsselungssuite beschreibt eine Konstruktion, keine Beziehung zwischen zwei Parteien. Paketintegrität, Identität der Gegenstelle und Kontoberechtigungen sind verwandte Anforderungen mit getrennten Nachweisen.
Vertrauensprofil RFC 5280 ist die Referenz für Zertifikatspfade und Identitätsprüfungen, wenn die Bereitstellung X.509 verwendet. Es zu lesen ist nützlicher, als das Wort authentifiziert als Synonym für sicher zu behandeln.
Lesen Sie den Fehler, bevor Sie eine Kontrolle schwächen
Ein abgelaufenes Zertifikat, eine falsche Systemuhr und eine unerwartete Serveridentität haben jeweils ihre eigene Korrektur. Ein abgelehntes Konto hat eine andere. Wenn der Server sich rechtmäßig geändert hat, holen Sie das aktualisierte Vertrauensmaterial beim geprüften Betreiber. Das Entfernen der Identitätsprüfung, damit der Tunnel sich verbindet, tauscht einen sichtbaren Fehler gegen einen unsichtbaren.
Schützen Sie die Anmeldedaten, von denen der Tunnel abhängt. Ein Profil kann einen privaten Schlüssel enthalten, und ein gespeichertes Passwort kann Fernzugriff gewähren. Wenn eines abfließt, nutzen Sie den Konto- oder Schlüsselverwaltungsprozess des Dienstes, denn die Wahl eines anderen Landes im Client-Verzeichnis widerruft die alte Identität nicht.