IPsec aurrez partekatutako gakoa: idatzi duzun katearen atzeko byteak
Bi muturrek berdinak diruditen kateak izan ditzakete eta gako desberdinak erator ditzakete. Egiaztatu eremu-mota, edozein kodetze eta amaierako byteak ezer ahuldu aurretik.
Bi administratzailek pantailan sekretua alderatzen dute, bat datozela onartzen dute, eta tunelak huts egiten du autentifikazioan. Konparatu duten katea ez da mutur batek ere gako-deribazioan sartzen duen balioa. Ikusten dituzun karaktereen eta protokoloak hash egiten dituen byteen artean eremu-mota, testu-kodetze bat, editore bat eta arbel bat daude, eta lauetako edozeinek sarrera alda dezake itxura aldatu gabe. Konparatu byteak eta desadostasuna segundo batzuetan agertu ohi da.
Zer egiten du atebideak katearekin
Aurrez partekatutako gakoa ez da haritik bidaltzen eta konparatzen. Mutur bakoitzak bere kopia lokala sartzen du IKE trukerako gako-deribazioan, eta lortutako autentifikazio-karga erabilgarriak egiaztatu egiten dira edo ez. Diseinu horrek esan nahi du bi kopiek bytez berdinak izan behar dutela, ez bisualki antzekoak, eta hutsa autentifikazio-fasean jakinarazten dela, ez pasahitz okerreko mezu gisa.
Beraz, galdera erabilgarria ez da inoiz «berdinak dirudite» baizik eta «zein byte-sekuentzia zehatz hash egiten duen inplementazio bakoitzak».
Nondik datozen byte gehigarriak
Amaierako lerro-jauzi berri bat da errudun klasikoa, eta begi aurrean ezkutatzen da, editore gehienek fitxategia gordetzean ikusezin bat gehitzen dutelako. Txat-leiho batetik itsatsitako hasierako edo amaierako zuriuneak gauza bera egiten du, eta testu-prozesadore batek komatxo zuzena ordeztu izanak ere bai. Horietako batek ere ez du pertsonak egiten duen konparazio bisuala aldatzen.
Konparatu glifoak baino byteak erakusten dituen tresnarekin. printf '%s' "$PSK" | xxd | tail -2 balioaren buztana hexadezimalean inprimatzen du, eta han 0a edo 20 galdu bat nabaria da. Egin ezazu bi muturretan eta konparatu bi isurketak alboz albo. Egin ezazu sortutako proba-materialean, ez produkzioko sekretu batean, gero shell-historialean uzten duzuna.
Kodetua ez da zifratua
Konfigurazio-esportazioek sarritan sekretua oinarrizko kodetze batean daramate, batzuetan hirurogei edo hirurogeita hamasei karaktereko lerro-jauziekin eta batzuetan betegarriarekin. Mutur batek deskodetutako byteak espero baditu eta zuk testu kodetua itsasten baduzu, ez duzu pasahitz desberdin bat bidali, askoz luzeagoa bidali duzu, inprimagarriak diren karakterekin osatua. Base64k ez du isilpekotasunik ematen, eta horregatik sekretu kodetu bat ez da inoiz foro batera itsatsi behar bigarren iritzia eskatzeko.
Apple-ren IPSec hiztegia motak garrantzia duen adibide erabilgarria da: SharedSecret datu gisa dokumentatzen du L2TP eta Cisco IPsec karga erabilgarrietan sekretu partekatuko autentifikazio-metodorako. Hori karga erabilgarri jakin bateko propietate jakin bat da, ez da beste protokolo batek kasualitatez sekretua eskatzen duenerako berrerabil dezakezun testu-eremu orokor bat.
Alegatutako muga konbinazio bati dagokio
Apple bezero batean hogeita hamabi karaktereko sabaia dioen txosten zaharrak benetako txostenak dira bezero-bertsio, protokolo eta profil-forma bati buruz. Ez dira muga unibertsala Apple plataforma bakoitzerako, hornitzaile bakoitzerako eta protokolo bakoitzerako. Egiaztatu bertsioa, karga-mota eta atebidearen baldintza elkarrekin, eta gero probatu onartutako konfigurazio batean haria oinarri hartu beharrean. Idatzi probatutako konbinazioa aldaketen erregistroan, bestela hurrengo pertsonak hari berbera aipatuko du merezi duena baino konfiantza handiagoz.
Muga bat benetan aplikatzen bada, erantzuna hura betetzen duen kredentzial-diseinu onartu bat da, ez sekretu indartsu baten bertsio laburtua. Produkzioko gako bat ustezko muga bat betetzeko mozteak haren indarra behin betiko murrizten du eta dokumentazioa jada segurtasunarekin bat ez datorren sistema sortzen du.
Konpondu irudikapena, ez indarra
Autentifikazioak huts egiten badu irudikapena berretsi ondoren, irakurri autentifikazio-fasean indarrean dagoen politika: zein metodo negoziatzen ari den, zein pare-identitate espero den eta atebidea uste duzun konexioarekin bat datorren. Gero eta ahulagoak diren susmoak ez dira diagnostikoa, laguntza-txartel bat erantsita duen degradazio geldoa baizik.
Behar den kredentzialak erakundearen estandarra bete ezin badu, aldatu diseinua bete dezakeen batera. Nahikoa entropia duen sekretu partekatu bat, behin sortua, kudeatutako eremu batean gordeta eta inoiz argitaratu gabea, erantzun bikaina da; haren bertsio laburragoa ez.