O cifrado oculta os datos; a autenticación nomea o par
O cifrado protexe o contido, a autenticación do par nomea o servidor e a autorización decide que pode abrir unha identidade. Pregunte as tres cousas nun deseño de VPN.
O cifrado sen unha comprobación do par pode entregar unha conversa confidencial á parte equivocada. A autenticación sen autorización demostra quen se uniu, pero non que pode abrir. Son tres controis separados, e unha revisión de VPN que só pregunta polo cifrado responde a un deles. Ordene as preguntas antes de ler calquera páxina de axustes.
Catro preguntas antes de cualificalo de seguro
Catro preguntas enmarcan a revisión: que poden ler os observadores, que servidor responde, quen se une e que pode usar esa identidade. O cifrado responde a primeira, a autenticación do par a segunda, a autenticación de usuario ou dispositivo a terceira e a autorización a última. O nome dun cifrado ou un inicio de sesión correcto é unha resposta parcial.
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
Un deseño que deixa unha fila sen tratar non se fai seguro reforzando outra. Os controis son complementarios, non intercambiables.
A autenticación do par non é un inicio de sesión
O cliente verifica que o servidor é o que pretendía, mediante certificados configurados, claves públicas ou outro mecanismo admitido. Unha autoridade de certificación de confianza non converte cada certificado que emitiu algunha vez no servidor correcto, así que a comprobación de identidade segue importando. Escribir un contrasinal válido nun extremo non verificado non fai que ese extremo sexa fiable. O contrasinal só demostra que estaba disposto a autenticarse ante quen respondese.
WireGuard mostra a mesma idea con outros mobles: unha clave de par configurada realiza unha comprobación de identidade sen un aviso de certificado ao estilo do navegador. Un segredo compartido que coñecen moitos usuarios identifica máis o grupo que a unha persoa, por iso unha credencial única de dispositivo adoita levar unha identidade máis forte.
O cifrado autenticado é un termo criptográfico
O cifrado autenticado significa que o cifrado protexe a confidencialidade e detecta cambios non autorizados. Non significa que unha persoa iniciase sesión, nin decide que ficheiros pode abrir unha conta. O nome dunha suite de cifrado describe unha construción, non unha relación entre dúas partes. A integridade dos paquetes, a identidade do par e os permisos da conta son requisitos relacionados con probas separadas.
O perfil de confianza RFC 5280 é a referencia para as rutas de certificados e as comprobacións de identidade cando o despregamento usa X.509. Leelo é máis útil que tratar a palabra autenticado como sinónimo de seguro.
Lea o fallo antes de debilitar un control
Un certificado caducado, un reloxo do sistema incorrecto e unha identidade de servidor inesperada teñen cada un a súa corrección. Unha conta rexeitada ten outra. Se o servidor cambiou lexitimamente, obteña o material de confianza actualizado do operador verificado. Quitar a comprobación de identidade para que o túnel se conecte cambia un fallo visible por un invisible.
Protexa as credenciais das que depende o túnel. Un perfil pode conter unha clave privada, e un contrasinal gardado pode conceder acceso remoto. Cando unha se filtre, use o proceso de xestión da conta ou das claves do servizo, porque escoller outro país no directorio do cliente non revoga a identidade anterior.