IPsecin ennalta jaettu avain: tavut kirjoittamasi merkkijonon takana

Kaksi ylläpitäjää vertaa salaisuutta näytöllä, toteaa sen täsmäävän, ja tunneli epäonnistuu silti todennuksessa. Merkkijono, jota he vertasivat, ei ole arvo, jonka kumpikaan pää syöttää avaimen johtamiseen. Näkemienne merkkien ja protokollan hajauttamien tavujen välissä on kenttätyyppi, tekstikoodaus, editori ja leikepöytä, ja mikä tahansa näistä neljästä voi muuttaa syötettä muuttamatta sen ulkoasua. Vertaa tavuja, ja erimielisyys ilmenee yleensä sekunneissa.

Mitä yhdyskäytävä tekee merkkijonolla

Ennalta jaettua avainta ei lähetetä verkon yli ja verrata. Kumpikin pää syöttää paikallisen kopionsa IKE-vaihdon avaimen johtamiseen, ja tuloksena olevat todennuksen hyötykuormat joko vahvistetaan tai ei. Tämä rakenne tarkoittaa, että kahden kopion on oltava tavuittain identtisiä eikä visuaalisesti samankaltaisia, ja se tarkoittaa myös, että epäonnistuminen raportoidaan todennusvaiheessa eikä väärän salasanan viestinä.

Niinpä hyödyllinen kysymys ei ole koskaan ”näyttävätkö nämä samalta” vaan ”minkä tarkan tavujonon kukin toteutus hajauttaa”.

Mistä ylimääräiset tavut tulevat

Lopussa oleva rivinvaihto on klassinen syyllinen, ja se piiloutuu näkyviin, koska useimmat editorit lisäävät sellaisen näkymättömästi tiedostoa tallennettaessa. Keskusteluikkunasta liitetty alku- tai loppuväli tekee saman, samoin tekstinkäsittelyohjelman korvaama typografinen lainausmerkki. Mikään näistä ei muuta sitä visuaalista vertailua, jonka ihminen tekee.

Vertaa työkalulla, joka näyttää tavut eikä glyyfit. printf '%s' "$PSK" | xxd | tail -2 tulostaa arvon lopun heksadesimaalina, jossa harhaileva 0a tai 20 on ilmeinen. Tee se molemmissa päissä ja vertaa kahta tulostetta vierekkäin. Tee se luodulla testiaineistolla, älä tuotantosalaisuudella, jonka sitten jätät komentotulkin historiaan.

Koodattu ei ole salattu

Kokoonpanon vienti kuljettaa salaisuuden usein peruskoodauksessa, joskus rivinvaihdoin kuudenkymmenen tai seitsemänkymmenenkuuden merkin välein ja joskus täytteellä. Jos toinen pää odottaa purettuja tavuja ja liität koodatun tekstin, et lähettänyt eri salasanaa, lähetit paljon pidemmän tulostettavista merkeistä koostuvan salasanan. Base64 ei tarjoa lainkaan luottamuksellisuutta, minkä vuoksi koodattua salaisuutta ei koskaan pidä liittää foorumille toista mielipidettä varten.

Applen IPSec-sanakirja on hyödyllinen esimerkki tyypin merkityksestä: se dokumentoi SharedSecret tiedoksi jaetun salaisuuden todennusmenetelmälle L2TP- ja Cisco IPsec -hyötykuormissa. Se on tietty ominaisuus tietyssä hyötykuormassa, ei yleinen tekstikenttä, jota voisit käyttää uudelleen toiselle protokollalle, joka sattuu pyytämään salaisuutta.

Väitetty raja kuuluu yhdelle yhdistelmälle

Vanhat raportit kolmenkymmenenkahden merkin katosta yhdessä Apple-asiakasohjelmassa ovat todellisia raportteja yhdestä asiakasversiosta, protokollasta ja profiilin muodosta. Ne eivät ole yleinen raja jokaiselle Apple-alustalle, jokaiselle palveluntarjoajalle ja jokaiselle protokollalle. Tarkista versio, hyötykuorman tyyppi ja yhdyskäytävän vaatimus yhdessä ja testaa sitten hyväksytyssä järjestelyssä sen sijaan, että päättelet ketjusta. Kirjaa testattu yhdistelmä muutosrekisteriin, sillä muuten seuraava henkilö viittaa samaan ketjuun suuremmalla varmuudella kuin se ansaitsee.

Jos raja todella pätee, vastaus on tuettu tunnistetietorakenne, joka mahtuu siihen, ei vahvan salaisuuden lyhennetty versio. Tuotantoavaimen katkaiseminen arvatun rajan täyttämiseksi heikentää sen vahvuutta pysyvästi ja tuottaa järjestelmän, jonka dokumentaatio ei enää vastaa sen turvallisuutta.

Korjaa esitys, älä vahvuus

Kun todennus epäonnistuu sen jälkeen, kun esitys on vahvistettu, lue voimassa oleva käytäntö todennusvaiheessa: mitä menetelmää neuvotellaan, mitä vertaisidentiteettiä odotetaan ja vastaako yhdyskäytävä yhteyttä, jonka luulet sen olevan. Asteittain heikommat arvaukset eivät ole diagnoosia, ne ovat hidasta heikennystä, johon on liitetty tukipalvelupyyntö.

Jos vaadittu tunnistetieto ei voi täyttää organisaation standardia, muuta rakenne sellaiseksi, joka voi. Jaettu salaisuus, jolla on riittävä entropia, kerran luotu, hallittuun kenttään tallennettu eikä koskaan julkaistu, on täysin hyvä vastaus; sen lyhyempi versio ei ole.