Foarôf dielde IPsec-kaai: de bytes efter de tekenrige dy’t jo typt hawwe

Twa behearders fergelykje it geheim op it skerm, binne it iens dat it oerienkomt, en de tunnel slagget dochs net by de autentikaasje. De tekenrige dy’t se fergelike hawwe, is net de wearde dy’t ien fan beide kanten yn ’e kaaiôflieding stoppet. Tusken de tekens dy’t jo sjogge en de bytes dy’t it protokol hasht, sit in fjildtype, in tekstkodearring, in bewurker en in klamboerd, en elk fan dy fjouwer kin de ynfier feroarje sûnder it oansjen te feroarjen. Fergelykje de bytes en it ferskil bliuwt meastentiids binnen sekonden sichtber.

Wat de poarte mei de tekenrige docht

In foarôf dielde kaai wurdt net oer it net stjoerd en fergelike. Eltse kant stoppet syn pleatslike kopy yn ’e kaaiôflieding foar de IKE-útwikseling, en de autentikaasjeladings dy’t dêrút komme, wurde wol of net ferifiearre. Dat ûntwerp betsjut dat de beide kopyen byte-identyk wêze moatte ynstee fan fisueel gelyk, en it betsjut ek dat de flater by de autentikaasjefaze meld wurdt ynstee fan as in berjocht oer in ferkeard wachtwurd.

Dat de nuttige fraach is nea «sjogge dizze der itselde út», mar «hokker krekte folchoarder fan bytes hasht eltse ymplemintaasje».

Wêr’t ekstra bytes wei komme

In nije rigel oan ’e ein is de klassike skuldige, en hy ferstoppet him iepen en bleat, om’t de measte bewurkers by it bewarjen fan in bestân ûnsichtber ien tafoegje. In foaroansteand of eftersteande romte dy’t út in petearfinster plakt is, docht itselde, en ek in typografyske oanhelling dy’t troch in tekstferwurker ferfongen is troch in rjochte. Net ien fan dy feroaret de fisuele fergeliking dy’t in minske docht.

Fergelykje mei in helpmiddel dat bytes sjen lit ynstee fan glyfen. printf '%s' "$PSK" | xxd | tail -2 prints de ein fan ’e wearde yn heksadesimaal, dêr’t in fersweefde 0a of 20 dúdlik is. Doch dat oan beide kanten en fergelykje de twa dumps njonkeninoar. Doch dat op generearre testmateriaal, net op in produksjegeheim dat jo dêrnei yn ’e shell-skiednis litte.

Kodearre is net fersifere

Konfiguraasje-eksporten drage it geheim faak yn in basiskodearring, soms mei rigelbrekken elke sechstich of sechstensechstich tekens en soms mei opfoljen. As ien kant de dekodearre bytes ferwachtet en jo plakke de kodearre tekst, dan hawwe jo gjin oar wachtwurd stjoerd, mar in folle langer ien makke fan printsbere tekens. Base64 biedt hielendal gjin fertroulikheid, en dêrom mei in kodearre geheim nea op in forum plakt wurde foar in twadde miening.

It IPSec-wurdboek fan Apple is in nuttich foarbyld fan it belang fan type: it dokumintearret SharedSecret as gegevens foar de autentikaasjemetoade mei dield geheim yn ’e L2TP- en Cisco IPsec-ladings. Dat is in spesifike eigenskip yn in spesifike lading, net in algemien tekstfjild dat jo opnij brûke kinne foar in oar protokol dat tafallich in geheim freget.

In bewearde limyt heart by ien kombinaasje

Alde rapporten oer in plafond fan twaentritich tekens op ien Apple-klant binne echte rapporten oer ien klantferzje, protokol en profylfoarm. Se binne gjin universele limyt foar elk Apple-platfoarm, elke provider en elk protokol. Kontrolearje de ferzje, it ladingstype en de poartefereaske tagelyk, testje dan op in goedkarde opstelling ynstee fan út in tried ôf te lieden. Skriuw de testte kombinaasje yn it feroaringsregister, want oars sil de folgjende persoan deselde tried oanhelje mei mear fertrouwen as dy fertsjinnet.

As in limyt echt jildt, is it antwurd in stipe bewiisûntwerp dat deryn past, net in ferkoarte ferzje fan in sterk geheim. It ôfknippen fan in produksjekaai om in rieden limyt te foldwaan ferminderet de krêft permanint en produsearret in systeem waans dokumintaasje net mear by de feiligens past.

Reparearje de foarstelling, net de krêft

As de autentikaasje mislearret nei’t de foarstelling befêstige is, lês dan it effektive belied by de autentikaasjefaze: hokker metoade ûnderhannele wurdt, hokker peer-identiteit ferwachte wurdt, en oft de poarte oerienkomt mei de ferbining dy’t jo tinke. Stadichoan swakkere riedings binne gjin diagnoaze, it is in stadige ferleging mei in stipekaartje taheakke.

As it easke bewiis net oan ’e standert fan ’e organisaasje foldwaan kin, feroarje dan it ûntwerp nei ien dat it wol kin. In dield geheim mei genôch entropy, ien kear generearre, yn in beheard fjild bewarre en nea publisearre, is in folslein goed antwurd; in koartere ferzje derfan is dat net.