ادعاهای رمزنگاری VPN: آنچه مستندات باید بگوید
نام یک رمز، احراز هویت، فراداده یا مدت نگهداری را توصیف نمی‌کند. پیش از مقایسهٔ اعداد بررسی کنید که ادعا کدام اتصال را پوشش می‌دهد.
به عدد بزرگی که کنار نام یک الگوریتم آمده است نگاه کنید و بپرسید واقعاً چه چیزی را اندازه می‌گیرد. این عدد نمی‌گوید کدام اتصال محافظت می‌شود، کدام پروتکل آن حفاظت را فراهم می‌کند یا کلاینت شما کدام تنظیمات را پشتیبانی می‌کند. صفحه‌ای که نمی‌تواند ادعای خود را به یکی از این‌ها پیوند دهد، تبلیغ است نه مستندات. بررسی‌های زیر ترتیب خواندن برای هر خلاصه‌ای است که به دستتان رسیده، و نخستین ادعایی که نمی‌توانید آن را به اتصالی مشخص پیوند دهید، جایی است که باید متوقف شوید.
مشخص کنید ادعا کدام اتصال را پوشش می‌دهد
یک صفحهٔ محصول می‌تواند رمزنگاری تونل، HTTPS به پورتال حساب و رمزنگاری داده‌های ذخیره‌شده را در یک بند واحد بحث کند. این‌ها مسیرهای متفاوت و سامانه‌های ذخیره‌سازی متفاوت‌اند، بنابراین ویژگی یکی چیزی دربارهٔ بقیه نمی‌گوید. پیش از مقایسه با یک رقیب، تصمیم بگیرید جمله دربارهٔ کدام‌یک از این سه است. همان واژه، رمزنگاری، در هر سه بافت می‌آید و هر بار معنای متفاوتی دارد.
برای خود تونل، به دنبال پروتکلی مستند و مجموعه‌ای مستند از تنظیمات امنیتی پشتیبانی‌شده بگردید. این سه برچسب قابل جایگزینی نیستند: مجموعهٔ پیش‌فرض بدون انتخاب شما عرضه می‌شود، حالت اختیاری تنها زمانی اعمال می‌شود که پروفایل آن را برگزیند، و نتیجهٔ مذاکره‌شده همان چیزی است که دو طرف هنگام اتصال بر آن توافق کرده‌اند. فروشنده‌ای که این مرزها را محو می‌کند، کمتر از آنچه به نظر می‌رسد گفته است.
پروتکل و مجموعه‌ای که مجاز می‌داند را بررسی کنید
از پروفایل کلاینت آغاز کنید، نه از یک نمودار مقایسه‌ای. پروفایل نام پروتکل را می‌گوید و پروتکل تعیین می‌کند که کدام مجموعه‌ها اصلاً ممکن‌اند، چنان‌که دو مورد رایج نشان می‌دهند.
| Property | IKEv2/IPsec profile | WireGuard profile |
|---|---|---|
| Cipher suite | Proposal list of encryption, integrity, PRF and DH group | Fixed ChaCha20-Poly1305 with Curve25519 |
| Negotiation | The gateway narrows the proposal at connect time | No suite negotiation at all |
| Peer authentication | Certificates or a preshared secret | A public key per peer |
فهرست پیشنهادهای IKEv2 منویی است که دروازه از آن انتخاب می‌کند، بنابراین مجموعه‌ای که می‌گیرید می‌تواند میان دو دروازه با تنظیمات کلاینت یکسان متفاوت باشد. WireGuard چنین منویی ندارد، و همین بررسی ادعای آن را آسان‌تر و توصیفش را باریک‌تر می‌کند. هیچ‌یک از این دو چیدمان به خودی خود قوی‌تر نیست؛ نکته این است که مستندات باید بگوید کدام‌یک مقصود است.
نام یک رمز به‌تنهایی احراز هویت را نیز کنار می‌گذارد، برپایی کلید، آشکارشدن فراداده و مدت نگهداری. ساختارهای نوین رمزنگاری و یکپارچگی را در یک مجموعه ترکیب می‌کنند، در حالی که ساختارهای کهن‌تر آن‌ها را جدا می‌سازند، بنابراین آوردن یک نام الگوریتم می‌تواند پنهان کند که در واقع کدام ویژگی را می‌گیرید. هنگامی که صفحه آن را ذکر نمی‌کند، سیاست مذاکره را کتباً بخواهید.
احراز هویت طرف مقابل و وضعیت به‌روزرسانی را بررسی کنید
احراز هویت طرف مقابل حتی وقتی متن بازاریابی از آن می‌گذرد، بخشی از ادعاست. رمزنگاری قوی به گیرنده‌ای تأییدنشده همان نتیجه‌ای نیست که کسی قصدش را داشت، و تونلی که نمی‌تواند بگوید چه کسی پاسخ داد، کمتر از آنچه به نظر می‌رسد محافظت می‌کند. ببینید کلاینت چگونه سرور را اعتبارسنجی می‌کند: زنجیرهٔ گواهی، کلید سنجاق‌شده یا راز از پیش تقسیم‌شده. این‌ها مدل‌های اعتماد متفاوت با حالت‌های شکست متفاوت‌اند.
سپس پیاده‌سازی و وضعیت به‌روزرسانی آن را بررسی کنید، زیرا رمزی مستند در کلاینتی بدون وصله، نسخه‌ای را توصیف می‌کند که شاید اجرا نمی‌کنید. محدودیت‌های منتشرشدهٔ نویسندگان پروتکل به همین دلیل ارزش خواندن دارند. کلاینتی که یک سال به‌روزرسانی نشده است، ادعایی متفاوت از صفحهٔ پیش روی شما دارد.
بررسی کنید تونل کجا پایان می‌یابد
تونل از کلاینت به سرور در سرور VPN پایان می‌یابد. رمزنگاری برنامه، مانند HTTPS به سرویس پشت آن، می‌تواند ترافیک را در ادامهٔ مسیر محافظت کند، و پس از سرور ممکن است تنها حفاظت باقی‌مانده باشد. توضیح اپراتور دربارهٔ نقاط پایانی را بخوانید و تصمیم بگیرید ادعا به کدام‌یک از این لایه‌ها اشاره دارد.
سیاست ثبت رویداد و ردیابی حساب کاملاً بیرون از رمزنگاری است. اپراتور می‌تواند محتوای رمزشده را منتقل کند در حالی که زمان‌بندی، نشانی‌ها و حجم را مشاهده می‌کند، بنابراین ادعایی دربارهٔ محرمانگی محتوا هیچ پاسخی دربارهٔ آنچه ثبت می‌شود نمی‌دهد. مدت نگهداری را پرسشی جداگانه با شواهد خودش بدانید.
آنچه مستندات نمی‌گوید را ثبت کنید
وقتی ویژگی‌ای غایب است، ثبت کنید که غایب است، نه اینکه آن را از نام یا اعتبار نرم‌افزار استنباط کنید. یک ممیزی تنها ویژگی‌ها و اجزایی را پوشش می‌دهد که واقعاً بررسی کرده است، و شکاف در مستندات خودش یک یافته است. شکاف را همان زمان که هنوز به یاد دارید کدام صفحه آن را پدید آورده، بنویسید.
روی ماشینی که خودتان کنترل می‌کنید، مجموعه را از نشست فعال بازخوانی کنید، با استفاده از صفحهٔ وضعیت کلاینت یا فهرست انجمن‌های امنیتی روی دروازه، و آن مقدار را کنار نسخهٔ کلاینت ثبت کنید. این ثبت، ادعای فروشنده را بعدها، وقتی به‌روزرسانی نتیجهٔ مذاکره‌شده را تغییر می‌دهد، به چیزی قابل مقایسه تبدیل می‌کند. اگر کلاینت و مستندات ناسازگار بودند، به نتیجهٔ مذاکره‌شده اعتماد کنید و ناسازگاری را گزارش دهید، نه اینکه آن را بی‌صدا هماهنگ کنید.