Krüpteerimine peidab andmed; autentimine nimetab vastaspoole
Krüpteerimine kaitseb sisu, vastaspoole autentimine nimetab serveri ja autoriseerimine otsustab, mida identiteet avada tohib. Küsi VPN-i disainis kõiki kolme.
Krüpteerimine ilma vastaspoole kontrollita võib usaldusliku vestluse toimetada vale poole kätte. Autentimine ilma autoriseerimiseta tõestab, kes liitus, aga mitte seda, mida ta avada tohib. Need on kolm eraldi kontrolli ja VPN-i ülevaade, mis küsib ainult šifri kohta, vastab ühele neist. Enne seadistelehe avamist pane küsimused järjekorda.
Neli küsimust, enne kui seda turvaliseks nimetad
Ülevaate raamistavad neli küsimust: mida saavad vaatlejad lugeda, milline server vastab, kes liitub ja mida see identiteet kasutada tohib. Esimesele vastab krüpteerimine, teisele vastaspoole autentimine, kolmandale kasutaja või seadme autentimine ja viimasele autoriseerimine. Šifri nimi või õnnestunud sisselogimine on ainult osaline vastus.
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
Disain, mis jätab ühe rea käsitlemata, ei muutu turvaliseks teise tugevdamisega. Kontrollid täiendavad üksteist, neid ei saa vahetada.
Vastaspoole autentimine ei ole sisselogimine
Klient kontrollib, et server on see, mida ta kavatses, kasutades seadistatud sertifikaate, avalikke võtmeid või muud toetatud mehhanismi. Usaldusväärne sertifitseerimisasutus ei tee igast kunagi välja antud sertifikaadist õiget serverit, seega jääb identiteedikontroll oluliseks. Kehtiva parooli sisestamine kontrollimata lõpp-punkti ei muuda seda lõpp-punkti usaldusväärseks. Parool tõestab ainult, et olid valmis autentima end sellele, kes vastas.
WireGuard näitab sama ideed teiste vahenditega: seadistatud vastaspoole võti teeb identiteedikontrolli ilma brauserilaadse sertifikaadidialoogita. Paljudele kasutajatele teada olev ühine saladus identifitseerib pigem gruppi kui üksikisikut, mistõttu kannab unikaalne seadme volitus sageli tugevamat identiteeti.
Autenditud krüpteerimine on krüptograafiline termin
Autenditud krüpteerimine tähendab, et šiffer kaitseb konfidentsiaalsust ja tuvastab volitamata muudatused. See ei tähenda, et inimene sisse logis, ega otsusta, milliseid faile konto avada tohib. Šifrikomplekti nimi kirjeldab konstruktsiooni, mitte kahe poole vahelist suhet. Paketi terviklikkus, vastaspoole identiteet ja konto õigused on seotud nõuded eraldi tõenditega.
Usaldusprofiil RFC 5280 on sertifikaaditeede ja identiteedikontrollide viide, kui juurutus kasutab X.509. Seda lugeda on kasulikum kui käsitleda sõna autenditud sõna turvaline sünonüümina.
Loe tõrget enne, kui kontrolli nõrgendad
Aegunud sertifikaat, vale süsteemikell ja ootamatu serveri identiteet on igaühel oma parandus. Tagasilükatud kontol on teine. Kui server muutus seaduslikult, hangi uuendatud usaldusmaterjal kontrollitud operaatorilt. Identiteedikontrolli eemaldamine, et tunnel ühenduks, vahetab nähtava tõrke nähtamatu vastu.
Kaitse volitusi, millest tunnel sõltub. Profiil võib sisaldada privaatvõtit ja salvestatud parool võib anda kaugjuurdepääsu. Kui üks lekib, kasuta teenuse konto- või võtmehaldusprotsessi, sest teise riigi valimine kliendi kataloogis ei tühista vana identiteeti.