IKEv1 kontraŭ IKEv2: aŭtentigo per antaŭe dividita ŝlosilo kaj kio diferencas

Du enirejoj agorditaj per la sama antaŭe dividita ŝlosilo finas manpremon, kaj paka kapto montras neniun sekreton transirantan la draton. Tio estas la parto, kiun homoj memoras. La interesa parto estas, kion ĉiu versio efektive komputas por pruvi, ke la sekreto estas konata, ĉar IKEv1 kaj IKEv2 konstruas tiun pruvon el malsamaj enigoj kaj malkaŝas malsamajn informojn dum ili faras tion. Legu la du spurojn flanke unu de la alia kaj la diferenco ĉesas esti kosmetika.

Kion la pruvo devas atingi

Diffie-Hellman donas al ambaŭ partneroj komunan valoron, kies publikajn duonojn povas ankaŭ komputi iu ajn, kiu rigardas. Per si mem tio pruvas nenion pri identeco: atakanto, kiu finas ŝlosilan interŝanĝon, havas la saman komunan valoron kiel via enirejo. La aŭtentiga paŝo ekzistas por ligi tiun interŝanĝon al sekreto, kiun posedas nur la celataj partneroj, kaj al la identecoj kaj parametroj, pri kiuj ili interkonsentis.

Tiu ligo estas kial la haketo kovras pli ol la ŝlosilon. Se ĝi kovrus nur la sekreton, atakanto povus reludi ĝin en alian interŝanĝon kun malsamaj identecoj aŭ proponoj.

IKEv1 Main Mode: derivi SKEYID, poste pruvi ĝin

Main Mode rulas ses mesaĝojn. La unua paro intertraktas la sekurecan asocion, la dua interŝanĝas publikajn valorojn de Diffie-Hellman kaj nenceojn, kaj la tria portas identecojn plus aŭtentigajn haketojn sub la ĵus starigita ĉifrado. RFC 2409 difinas la konstruon: kun aŭtentigo per antaŭe dividita ŝlosilo, SKEYID estas derivata el la sekreto kaj ambaŭ nenceoj, kaj la posta ŝlosila materialo estas derivata el SKEYID, la komuna valoro de Diffie-Hellman, la kuketoj kaj konstantoj.

La haketo en mesaĝoj kvin kaj ses estas komputata super la valoro Diffie-Hellman, la du kuketoj, la propono kaj la identeco de la sendanto, ŝlosita per SKEYID. La ricevanto rekalkulas ĝin per sia propra agordita sekreto. Miskongruo finas la interŝanĝon, kaj en neniu momento la sekreto mem estas utila ŝarĝo.

Aggressive Mode kunpremas la saman laboron en tri mesaĝojn, kio signifas, ke identecoj kaj la aŭtentiga haketo vojaĝas antaŭ ol ekzistas ĉifrita kanalo. Tio estas reala elmeto por divenebla sekreto, kaj ĝi estas aparta de la demando, ĉu la sekreto estis transdonita. IKEv1 estas malrekomendita de RFC 9395, do malnova spuro estas diagnoza ekzerco prefere ol celo de disfaldado.

IKEv2: malsama derivado kaj malsama AUTH-ŝarĝo

IKEv2 ne reuzas la ŝlosilan horaron de IKEv1. La komencaj IKE-ŝlosiloj venas el semo konstruita el la nenceoj kaj la komuna valoro Diffie-Hellman, kaj la infanaj sekurecaj asocioj deriviĝas el tio. La antaŭe dividita ŝlosilo tute ne nutras la semon.

La aŭtentigo tiam aperas kiel AUTH-ŝarĝo. Por aŭtentigo per komuna ŝlosilo, RFC 7296 specifas remburitan formon de la sekreto, produktitan per hakado de la sekreto kun la fiksa ĉeno Key Pad for IKEv2, kaj poste per hakado de la subskribitaj interŝanĝaj datumoj kaj la identeco kun tiu remburita ŝlosilo. La kontrolanto povas rekonstrui la saman valoron; observanto ne povas, sen la sekreto.

Rimarku, kio ŝanĝiĝis. En IKEv1 la sekreto estas bakita en la ŝlosilan horaron antaŭ ol la aŭtentiga haketo ekzistas; en IKEv2 la ŝlosila horaro estas sendependa de la sekreto kaj la pruvo estas aparta ŝarĝo ligita al la subskribitaj oketoj. Sama koncepta garantio, malsama maŝinaro, kaj tial parametraj nomoj kaj kaptoj ne mapiĝas unu al unu.

Kion observanto efektive lernas

Publikaj valoroj de Diffie-Hellman, proponoj, nenceoj kaj kuketoj estas videblaj en ambaŭ versioj. Identecoj estas videblaj en IKEv1 Aggressive Mode kaj protektitaj en la aliaj kazoj. La sekreto neniam estas videbla.

Tiu lasta frazo havas limon indan je mencio. Malforta, hom-elektita sekreto povas esti atakata per divenado: la atakanto komputas, kia estus la aŭtentiga valoro por kandidata sekreto, kaj komparas. IKEv1 Aggressive Mode faras tion la plej malmultekosta ĉar la pruvoj estas malkaŝe, kaj la normoj ĝenerale avertas pri sekretoj kun malalta entropio. Neniam transdoni la sekreton ne samas al fari malbonan sekreton sekura.

Kion fari kun la komparo

Uzu unu unikan sekreton por ĉiu partnera paro, generu ĝin el hazarda fonto kaj rotaciu ĝin tra la sama proviza vojo, kiu distribuis ĝin. Se la sekreto estas konservita en agorda ŝablono, kiu sendiĝas al ĉiu filio, kompromiso en unu loko estas kompromiso ĉie.

Preferu aŭtentigon bazitan sur atestiloj, kie la operacia kosto estas akceptebla, ĉar ĝi forigas la divenan problemon de la komuna sekreto kaj donas al ĉiu partnero apartan identecon. Kie antaŭe dividita ŝlosilo restas, tenu ĝin longa, limigu ĝian amplekson kaj traktu la IKE-version kiel sekurecan decidon prefere ol interagadan detalon.