Jo VPN-wachtwurd is mar sa privee as syn ferifiearder

Wurk fjouwer fragen oer elke VPN-ynlogge ôf: wat beskermet it wachtwurd ûnderweis, hokker komponint krijt it, wat docht dat komponint der mei, en wat wurdt dêrnei bewarre. Elk antwurd is in oare kontrôle, en in sterk antwurd op ien seit neat oer de oaren. De flater is tunelferzifering te behanneljen as soe dy alle fjouwer dekke. It dekt de earste, en allinnich de earste.

Freegje wa't de sesje einiget, net oft de sesje fersifere is.

Fersifere foar wa, krekt?

TLS beskermet it wachtwurd tusken de klant en wat de ferbining einiget. As dat einpunt de VPN-poarte is, sjocht de autentikaasjekoad fan 'e poarte it wachtwurd yn platte tekst, falidearret it, en jout it of in ôflavere wearde troch. Dat is it bedoelde ûntwerp, gjin lek. In netwurkwaarnimmer op 'e wei leart neat nuttichs, en it komponint dat de ferifikaasje docht, leart alles wat it nedich hat.

De mienskip fan OpenVPN dokumintearret dit eksplisyt: auth-user-pass-verify jout de oanlevere gegevens oer oan in ferifikaasjeskript of plugin. It is in bewuste oerjefte tusken komponinten, en it heart as neamd partij by it fertrouwensmodel.

De ferifiearder sjocht it wachtwurd

Sadree't in komponint in wachtwurd krijt om it te ferifiearjen, bepale syn tagongskontrôles, logging en koadekwaliteit oft it geheim beheind bliuwt. In skript dat de gegevens yn in log skriuwt, of in plugin dy't se cachet, makket in folle gruttere bleatstelling as it protokol die. Tagong hinget ôf fan arsjitektuer en rollen, net fan 'e tunel, dêrom heart in tsjinstbehearder dy't de ferifiearder kontrolearret by de beoardieling.

Ferskillende metoaden lizze ferskillend materiaal bleat. Sertifikaatautentikaasje bewiist in priveekaaai sûnder it te ferstjoeren, en in federaasjestream kin it wachtwurd by de identiteitsleveransier hâlde wylst it in beheinde bewearing oan 'e VPN útjout. Dy ûntwerpen ferneare it sirkel; net ien fan har slút elke fertroude partij út.

Bewarre hashes beskermje in oare faze

De NIST-rjochtlinen skiede beskerme oerdracht fan wjersteanber ferifiearderopslach. Sâlt en in hashskema mei kosten pakke de bedriging fan 'e bewarre ferifiearder oan, dat is wat efterôf bart as in databank lekket. Se dogge neat oan in runtime-komponint dat de ynfier krije moat om it te ferlykjen. De rjochtlinen lêze as soene se runtime-geheimhâlding belove, is in kategoryflater.

In goed hashe wachtwurdopslach en in bleatsteld ferifikaasjeskript kinne dus sûnder tsjinstridichheid yn ien produkt bestean.

In metoade kieze dy't it sirkel fernearet

As de eask is dat de poarte nea in werbrûkber wachtwurd krijt, kies dan in metoade dy't dat echt garandearret; in datasifer feroarje makket dy eigenskip net. It sertifikaat fan 'e VPN-tsjinner ferifiearje fertelt jo hokker partner jo berikt hawwe; it seit neat oer hoe't dy partner dêrnei mei gegevens omgiet. Hâld tsjinnerferifikaasje, brûk aparte gegevens per tsjinst, en folgje de stipe identiteitsstream fan 'e organisaasje.

Skriuw de partij op dy't it wachtwurd krijt, de partij dy't it falidearret en de foarm wêryn't it bewarre wurdt. Dy trije antwurden hearre njonken it ferbiningsprofyl, omdat se elke bepaalde tunel oerlibje.

De nuttige fraach is net oft it wachtwurd fersifere is, mar foar wa't it ferburgen wurdt, hokker komponint it krijt en hokker foarm dêrnei oerlibbet.