Salaus kätkee tiedot; todentaminen nimeää vastapuolen
Salaus suojaa sisällön, vastapuolen todentaminen nimeää palvelimen ja valtuutus päättää, mitä identiteetti saa avata. Kysy kaikki kolme VPN-suunnittelusta.
Salaus ilman vastapuolen tarkistusta voi toimittaa luottamuksellisen keskustelun väärälle osapuolelle. Todentaminen ilman valtuutusta todistaa, kuka liittyi, mutta ei sitä, mitä hän saa avata. Nämä ovat kolme erillistä valvontaa, ja VPN-arvostelu, joka kysyy vain salauksesta, vastaa yhteen niistä. Järjestä kysymykset ennen kuin avaat yhtään asetussivua.
Neljä kysymystä ennen kuin kutsut sitä turvalliseksi
Neljä kysymystä kehystävät arvion: mitä tarkkailijat voivat lukea, mikä palvelin vastaa, kuka liittyy ja mitä tämä identiteetti saa käyttää. Ensimmäiseen vastaa salaus, toiseen vastapuolen todentaminen, kolmanteen käyttäjän tai laitteen todentaminen ja viimeiseen valtuutus. Salauksen nimi tai onnistunut kirjautuminen on vain osittainen vastaus.
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
Suunnittelu, joka jättää yhden rivin käsittelemättä, ei tule turvalliseksi toista vahvistamalla. Valvonnat täydentävät toisiaan, niitä ei voi vaihtaa.
Vastapuolen todentaminen ei ole kirjautuminen
Asiakas varmistaa, että palvelin on aiottu, käyttäen määritettyjä varmenteita, julkisia avaimia tai muuta tuettua mekanismia. Luotettu varmentaja ei tee jokaisesta koskaan myöntämästään varmenteesta oikeaa palvelinta, joten identiteetin tarkistus on edelleen tärkeä. Voimassa olevan salasanan kirjoittaminen vahvistamattomaan päätepisteeseen ei tee siitä päätepisteestä luotettavaa. Salasana todistaa vain, että olit valmis todentamaan itsesi sille, joka vastasi.
WireGuard näyttää saman idean eri kalustolla: määritetty vastapuolen avain tekee identiteettitarkistuksen ilman selaintyylistä varmenneikkunaa. Monen käyttäjän tuntema jaettu salaisuus tunnistaa pikemmin ryhmän kuin yksittäisen henkilön, minkä vuoksi yksilöllinen laitevaltuutus kantaa usein vahvempaa identiteettiä.
Todennettu salaus on kryptografinen termi
Todennettu salaus tarkoittaa, että salaus suojaa luottamuksellisuutta ja havaitsee luvattomat muutokset. Se ei tarkoita, että ihminen kirjautui sisään, eikä se päätä, mitkä tiedostot tili saa avata. Salauspaketin nimi kuvaa rakennetta, ei kahden osapuolen välistä suhdetta. Paketin eheys, vastapuolen identiteetti ja tilin käyttöoikeudet ovat toisiinsa liittyviä vaatimuksia, joilla on erilliset todisteet.
Luottamusprofiili RFC 5280 on viite varmentepoluille ja identiteettitarkistuksille, kun käyttöönotto käyttää X.509:ää. Sen lukeminen on hyödyllisempää kuin käsitellä sanaa todennettu sanan turvallinen synonyymina.
Lue vika ennen kuin heikennät valvontaa
Vanhentuneella varmenteella, väärällä järjestelmäkellolla ja odottamattomalla palvelimen identiteetillä on kullakin oma korjauksensa. Hylätyllä tilillä on toinen. Jos palvelin on vaihtunut laillisesti, hae päivitetty luottamusmateriaali vahvistetulta operaattorilta. Identiteettitarkistuksen poistaminen, jotta tunneli yhdistää, vaihtaa näkyvän vian näkymättömään.
Suojaa tunnistetiedot, joista tunneli riippuu. Profiili voi sisältää yksityisen avaimen, ja tallennettu salasana voi antaa etäkäytön. Kun yksi vuotaa, käytä palvelun tili- tai avaintenhallintaprosessia, sillä toisen maan valitseminen asiakashakemistossa ei peruuta vanhaa identiteettiä.