Zer egiten du aldez aurretik partekatutako gakoak IPsec, OpenVPN eta WireGuard-en

Aldez aurretik partekatutako gako esaldiak IPsec, OpenVPN eta WireGuard dokumentazioan agertzen dira, baina hiru objektu desberdin adierazten ditu. Bata autentifikazio-sekretu bat da, besteak kontrol-kanal bat babesten du, eta hirugarrenak jadanik identitateak dituen esku-emate bati materiala eransten dio. Trukagarritzat hartzeak inork espero ez zuen fasean huts egiten duen konexioa sortzen du. Kopiatu balio bat bertan sartu aurretik, irakurri zer egiten duen eremu horrek protokolo horretan.

Hiru protokolo, hiru esanahi

Protokolo bakoitzak gakoaren zeregina bere zehaztapenean definitzen du, eta zeregin horiek ez dira gainjartzen. Autentifikazio-sekretu batek bi aldeek balio bera dakiten frogatzen du. Kontrol-kanalaren gakoak ondorengo negoziazioa babesten du. Esku-ematearen osagarriak gakoen egutegia aldatzen du, baina ez du aldatzen nor diren aldeak.

Rol horietako batek ere ez du gizakirik autentifikatzen, eta nahaste horrek hartzen du denbora gehien. Aldez aurretik partekatutako gakoa trukatu aurretik gailu edo atebideetan jartzen da, beraz, edukitzaile bakoitzak berdin dirudi beste alderako. Ezaugarri hori bi routerren arteko loturarako abantaila da eta langile izendunak dituen urrutiko sarbide-zerbitzu baterako arriskua. Mantendu kontuaren kredentziala eta sekretu kriptografikoa hedapena deskribatzen duen dokumentuaren zutabe bereizietan.

IPsec eta OpenVPN hitza modu ezberdinean erabiltzen dute

IKEv2-k aldea ziurtagirien ordez aldez aurretik partekatutako sekretu batekin autentifika dezake, eta balioak bi muturretan bat etorri behar du. Sekretu bera aldeen talde bati ezartzen zaionez, edozein edukitzailek besteak ordezkatu ditzake, eta trukaketak ez du inoiz izan ez dituen identitate-gakoetatik aurrerako isilpekotasunik lortzen.

OpenVPN-ren tls-auth eta tls-crypt aukerak gako estatiko bat lotzen diote kontrol-kanalari, HMAC sinadura eransten dute edo negoziazioa bera zifratzen dute. Gako hori ez da erabiltzailearen pasahitza eta ez du bezeroaren ziurtagiria ordezkatzen. Biak bereiztea garrantzitsua da berritzean, pasahitz-aldaketak kontrol-kanalaren gakoa ukitu gabe uzten duenean.

WireGuard-en PSK-ak eransten du, ez du identifikatzen

WireGuard aldeek jadanik Curve25519 gako publiko eta pribatuak dituzte, eta esku-emateak identitate horiek autentifikatzen ditu. Aukerako aldez aurretik partekatutako gakoa kate-gakoan nahasten da, eta gako publikoen trukaketaren gainean material simetrikoa eransten du.

Bere kabuz ez du identitaterik ez eta erabiltzaile-konturik ematen, beraz, operadoreak ezin ditu bi edukitzaile bere PSK-aren arabera bereizi. Bi muturrek balio bera eraman behar dute, bestela esku-emateak huts egiten du errore-mezu erabilgarririk gabe. Horregatik errotazioa bi aldeetarako aldi berean planifikatu behar da, eta ez fitxategi bakarra editatzeko moduan.

Egiaztatu banaketa, errotazioa eta kentzea

Banaketa da sekretu bat leku askotan erabiltzen duen diseinu ororen puntu ahula. Txat-leiho batean itsatsitako, biltegian gordetako edo inguruneen artean berrerabilitako balio batek inork zenbatu ezin dituen kopiak biltzen ditu, eta kopia bakoitzak kalte-eremua isilik zabaltzen du.

Base64 testua ez da zifratzea. Karpeta berean ziurtagiri publiko baten ondoan gordetako sekretua oraindik sekretu da testu argian.

openssl rand -base64 32
sudo wg show wg0 preshared-keys
sudo grep -R -n 'psk' /etc/ipsec.d/ 2>/dev/null

Errotatu egutegi baten arabera eta susmatutako edozein agerraldiren ondoren, aurreikusitako alde bakoitza eguneratuz balio zaharra errebokatu aurretik. Ondoren probatu lotura bi muturretatik, gakoak bat ez badatoz esku-ematean huts egiten baitu eta suebaki-arazo baten antz handia du.

Dokumentatu zein sekretuk zein fase babesten duen, pasahitzaren berrezarpena inoiz gako kriptografikoaren berritzearekin nahas ez dadin. Lerro bakar horrek ordu bat aurrezten du norbaitek hedapena auditatu behin.