Η κρυπτογράφηση κρύβει τα δεδομένα· η αυθεντικοποίηση ονομάζει τον ομότιμο
Η κρυπτογράφηση προστατεύει το περιεχόμενο, η αυθεντικοποίηση του ομοτίμου ονομάζει τον διακομιστή και η εξουσιοδότηση αποφασίζει τι μπορεί να ανοίξει μια ταυτότητα. Ρωτήστε και τα τρία σε ένα σχέδιο VPN.
Η κρυπτογράφηση χωρίς έλεγχο του ομοτίμου μπορεί να παραδώσει μια εμπιστευτική συνομιλία στο λάθος μέρος. Η αυθεντικοποίηση χωρίς εξουσιοδότηση αποδεικνύει ποιος συνδέθηκε, αλλά όχι τι επιτρέπεται να ανοίξει. Πρόκειται για τρεις ξεχωριστούς ελέγχους, και μια αξιολόγηση VPN που ρωτά μόνο για τον κρυπταλγόριθμο απαντά σε έναν από αυτούς. Ταξινομήστε τις ερωτήσεις πριν ανοίξετε οποιαδήποτε σελίδα ρυθμίσεων.
Τέσσερις ερωτήσεις πριν το χαρακτηρίσετε ασφαλές
Τέσσερις ερωτήσεις πλαισιώνουν την αξιολόγηση: τι μπορούν να διαβάσουν οι παρατηρητές, ποιος διακομιστής απαντά, ποιος συνδέεται και τι επιτρέπεται να χρησιμοποιεί αυτή η ταυτότητα. Στην πρώτη απαντά η κρυπτογράφηση, στη δεύτερη η αυθεντικοποίηση του ομοτίμου, στην τρίτη η αυθεντικοποίηση χρήστη ή συσκευής και στην τελευταία η εξουσιοδότηση. Ένα όνομα κρυπταλγόριθμου ή μια επιτυχής σύνδεση είναι μερική απάντηση.
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
Ένα σχέδιο που αφήνει μια γραμμή ακάλυπτη δεν γίνεται ασφαλές ενισχύοντας μια άλλη. Οι έλεγχοι είναι συμπληρωματικοί, όχι ανταλλάξιμοι.
Η αυθεντικοποίηση του ομοτίμου δεν είναι σύνδεση
Ο πελάτης επαληθεύει ότι ο διακομιστής είναι αυτός που προοριζόταν, χρησιμοποιώντας ρυθμισμένα πιστοποιητικά, δημόσια κλειδιά ή άλλο υποστηριζόμενο μηχανισμό. Μια αξιόπιστη αρχή πιστοποίησης δεν καθιστά κάθε πιστοποιητικό που εξέδωσε ποτέ τον σωστό διακομιστή, επομένως ο έλεγχος ταυτότητας παραμένει σημαντικός. Η πληκτρολόγηση έγκυρου κωδικού σε ένα μη επαληθευμένο τελικό σημείο δεν το καθιστά αξιόπιστο. Ο κωδικός αποδεικνύει μόνο ότι ήσασταν πρόθυμοι να αυθεντικοποιηθείτε σε όποιον απάντησε.
Το WireGuard δείχνει την ίδια ιδέα με άλλα εργαλεία: ένα ρυθμισμένο κλειδί ομοτίμου εκτελεί έλεγχο ταυτότητας χωρίς παράθυρο πιστοποιητικού τύπου προγράμματος περιήγησης. Ένα κοινό μυστικό που γνωρίζουν πολλοί χρήστες προσδιορίζει περισσότερο την ομάδα παρά ένα άτομο, γι’ αυτό ένα μοναδικό διαπιστευτήριο συσκευής συχνά φέρει ισχυρότερη ταυτότητα.
Η αυθεντικοποιημένη κρυπτογράφηση είναι κρυπτογραφικός όρος
Η αυθεντικοποιημένη κρυπτογράφηση σημαίνει ότι ο κρυπταλγόριθμος προστατεύει την εμπιστευτικότητα και ανιχνεύει μη εξουσιοδοτημένες αλλαγές. Δεν σημαίνει ότι συνδέθηκε άνθρωπος και δεν αποφασίζει ποια αρχεία μπορεί να ανοίξει ένας λογαριασμός. Το όνομα μιας σουίτας κρυπτογράφησης περιγράφει μια κατασκευή, όχι μια σχέση μεταξύ δύο μερών. Η ακεραιότητα πακέτων, η ταυτότητα του ομοτίμου και τα δικαιώματα λογαριασμού είναι συναφείς απαιτήσεις με ξεχωριστές αποδείξεις.
Το προφίλ εμπιστοσύνης RFC 5280 είναι η αναφορά για διαδρομές πιστοποιητικών και ελέγχους ταυτότητας όταν η ανάπτυξη χρησιμοποιεί X.509. Το να το διαβάσετε είναι πιο χρήσιμο από το να θεωρείτε τη λέξη αυθεντικοποιημένο συνώνυμο του ασφαλούς.
Διαβάστε την αποτυχία πριν αποδυναμώσετε έναν έλεγχο
Ένα ληγμένο πιστοποιητικό, ένα λάθος ρολόι συστήματος και μια απρόσμενη ταυτότητα διακομιστή έχουν το καθένα τη διόρθωσή του. Ένας απορριφθείς λογαριασμός έχει άλλη. Αν ο διακομιστής άλλαξε νόμιμα, πάρτε το ενημερωμένο υλικό εμπιστοσύνης από τον επαληθευμένο πάροχο. Η αφαίρεση του ελέγχου ταυτότητας για να συνδεθεί η σήραγγα ανταλλάσσει μια ορατή αποτυχία με μια αόρατη.
Προστατέψτε τα διαπιστευτήρια από τα οποία εξαρτάται η σήραγγα. Ένα προφίλ μπορεί να περιέχει ιδιωτικό κλειδί και ένα αποθηκευμένο συνθηματικό μπορεί να δώσει απομακρυσμένη πρόσβαση. Όταν ένα διαρρεύσει, χρησιμοποιήστε τη διαδικασία διαχείρισης λογαριασμού ή κλειδιών της υπηρεσίας, γιατί η επιλογή άλλης χώρας στον κατάλογο του πελάτη δεν ανακαλεί την παλιά ταυτότητα.