IKEv1 વિરુદ્ધ IKEv2: પૂર્વ-શેર કરેલ કી સાથે પ્રમાણીકરણ અને શું અલગ છે

એક જ પૂર્વ-શેર કરેલ કી સાથે ગોઠવાયેલા બે ગેટવે હેન્ડશેક પૂર્ણ કરે છે, અને પેકેટ કેપ્ચર દર્શાવતું નથી કે કોઈ રહસ્ય વાયરમાંથી પસાર થાય છે. એ જ ભાગ છે જે લોકો યાદ રાખે છે. રસપ્રદ ભાગ એ છે કે દરેક આવૃત્તિ રહસ્ય જાણીતું છે તે સાબિત કરવા માટે ખરેખર શું ગણે છે, કારણ કે IKEv1 અને IKEv2 તે પુરાવો અલગ-અલગ ઇનપુટમાંથી બનાવે છે અને એ કરતી વખતે અલગ માહિતી જાહેર કરે છે. બંને ટ્રેસ સાથે-સાથે વાંચો અને તફાવત દેખાવનો રહેતો નથી.

પુરાવાએ શું હાંસલ કરવું છે

ડિફી-હેલમેન બંને પક્ષોને એક સહિયારું મૂલ્ય આપે છે જેનાં જાહેર અર્ધા ભાગો જોનાર કોઈ પણ ગણી શકે છે. એકલું એ ઓળખ વિશે કંઈ સાબિત કરતું નથી: કી એક્સચેન્જ પૂર્ણ કરનાર હુમલાખોર પાસે તમારા ગેટવે જેવું જ સહિયારું મૂલ્ય હોય છે. પ્રમાણીકરણનું પગલું એ એક્સચેન્જને એવા રહસ્ય સાથે જોડવા માટે છે જે ફક્ત ઇચ્છિત પક્ષો પાસે હોય, અને તે ઓળખ તથા પરિમાણો સાથે જેના પર તેઓ સંમત થયા હતા.

એ જ જોડાણ એ કારણ છે કે હેશ કી કરતાં વધુ આવરી લે છે. જો તે ફક્ત રહસ્ય આવરી લેતો, તો હુમલાખોર તેને અલગ ઓળખ કે પ્રસ્તાવો સાથેના બીજા એક્સચેન્જમાં ફરી ચલાવી શકતો.

IKEv1 મુખ્ય મોડ: SKEYID મેળવો, પછી સાબિત કરો

મુખ્ય મોડ છ સંદેશા ચલાવે છે. પ્રથમ જોડી સુરક્ષા સંગઠન પર વાટાઘાટ કરે છે, બીજી ડિફી-હેલમેન જાહેર મૂલ્યો અને નોન્સની આપ-લે કરે છે, અને ત્રીજી હમણાં જ સ્થપાયેલા એન્ક્રિપ્શન હેઠળ ઓળખ તેમજ પ્રમાણીકરણ હેશ વહન કરે છે. RFC 2409 બાંધકામ વ્યાખ્યાયિત કરે છે: પૂર્વ-શેર કરેલ કી પ્રમાણીકરણ સાથે, SKEYID રહસ્ય અને બંને નોન્સમાંથી મેળવાય છે, અને પછીની કી સામગ્રી SKEYID, ડિફી-હેલમેન સહિયારા મૂલ્ય, કૂકીઝ અને સ્થિરાંકોમાંથી મેળવાય છે.

પાંચમા અને છઠ્ઠા સંદેશામાંનો હેશ ડિફી-હેલમેન મૂલ્ય, બે કૂકીઝ, પ્રસ્તાવ અને મોકલનારની ઓળખ પર SKEYID સાથે ગણાય છે. પ્રાપ્તકર્તા તેને પોતાના ગોઠવેલા રહસ્ય સાથે ફરી ગણે છે. વિસંગતિ એક્સચેન્જ સમાપ્ત કરે છે, અને કોઈ પણ સમયે રહસ્ય પોતે પેલોડ હોતું નથી.

આક્રમણાત્મક મોડ એ જ કામને ત્રણ સંદેશામાં સંકોચે છે, એટલે કે એન્ક્રિપ્ટેડ ચેનલ અસ્તિત્વમાં આવે તે પહેલાં ઓળખ અને પ્રમાણીકરણ હેશ મુસાફરી કરે છે. અનુમાન કરી શકાય તેવા રહસ્ય માટે તે વાસ્તવિક જોખમ છે, અને રહસ્ય મોકલાયું હતું કે નહીં તે પ્રશ્નથી તે અલગ છે. IKEv1 ને RFC 9395 દ્વારા અપ્રચલિત કરાયું છે, તેથી જૂની ટ્રેસ નિદાનની કસરત છે, જમાવટનું લક્ષ્ય નહીં.

IKEv2: અલગ વ્યુત્પત્તિ અને અલગ AUTH પેલોડ

IKEv2 IKEv1 ની કી સમયપત્રકનો ફરી ઉપયોગ કરતું નથી. પ્રારંભિક IKE કી નોન્સ અને ડિફી-હેલમેન સહિયારા મૂલ્યમાંથી બનેલા બીજમાંથી આવે છે, અને ચાઇલ્ડ સુરક્ષા સંગઠનો તેમાંથી મેળવાય છે. પૂર્વ-શેર કરેલ કી બીજને બિલકુલ પોષતી નથી.

પછી પ્રમાણીકરણ AUTH પેલોડ તરીકે દેખાય છે. વહેંચાયેલ કી પ્રમાણીકરણ માટે, RFC 7296 રહસ્યનું પેડેડ સ્વરૂપ નિર્દિષ્ટ કરે છે, જે રહસ્યને નિશ્ચિત શબ્દમાળા Key Pad for IKEv2 સાથે હેશ કરીને, અને પછી સહી કરેલા એક્સચેન્જ ડેટા તથા ઓળખને તે પેડેડ કી સાથે હેશ કરીને બને છે. ચકાસનાર એ જ મૂલ્ય ફરી બનાવી શકે છે; નિરીક્ષક રહસ્ય વિના બનાવી શકતો નથી.

શું બદલાયું તે ધ્યાનમાં લો. IKEv1 માં પ્રમાણીકરણ હેશ અસ્તિત્વમાં આવે તે પહેલાં રહસ્ય કી સમયપત્રકમાં ભળી જાય છે; IKEv2 માં કી સમયપત્રક રહસ્યથી સ્વતંત્ર છે અને પુરાવો સહી કરેલા ઓક્ટેટ સાથે જોડાયેલું અલગ પેલોડ છે. એ જ વૈચારિક બાંયધરી, અલગ યંત્રણા, અને તેથી પરિમાણના નામ અને કેપ્ચર એક-બમણ એક મળતાં નથી.

નિરીક્ષક ખરેખર શું શીખે છે

ડિફી-હેલમેન જાહેર મૂલ્યો, પ્રસ્તાવો, નોન્સ અને કૂકીઝ બંને આવૃત્તિઓમાં દૃશ્યમાન છે. ઓળખ IKEv1 આક્રમણાત્મક મોડ માં દૃશ્યમાન અને બીજા કિસ્સાઓમાં સુરક્ષિત છે. રહસ્ય ક્યારેય દૃશ્યમાન નથી.

છેલ્લા વાક્યની એક મર્યાદા છે જે નોંધવા જેવી છે. માણસે પસંદ કરેલું નબળું રહસ્ય અનુમાન દ્વારા હુમલો કરી શકાય છે: હુમલાખોર ગણે છે કે ઉમેદવાર રહસ્ય માટે પ્રમાણીકરણ મૂલ્ય શું હશે અને સરખાવે છે. IKEv1 આક્રમણાત્મક મોડ તેને સૌથી સસ્તું બનાવે છે કારણ કે પુરાવો ખુલ્લામાં છે, અને ધોરણો સામાન્ય રીતે નીચા એન્ટ્રોપીના રહસ્યો અંગે ચેતવે છે. રહસ્ય કદી ન મોકલવું એ ખરાબ રહસ્યને સુરક્ષિત બનાવવા જેવું નથી.

સરખામણી સાથે શું કરવું

દરેક પક્ષ-જોડી માટે એક અનન્ય રહસ્ય વાપરો, તેને અવ્યવસ્થિત સ્રોતમાંથી બનાવો, અને જે પ્રાપ્તિ માર્ગે તેને વહેંચ્યું તે જ માર્ગે તેને ફેરવો. જો રહસ્ય એવા રૂપરેખા નમૂનામાં સંગ્રહાયેલું હોય જે દરેક શાખામાં મોકલાય છે, તો એક જગ્યાની સમાધાની દરેક જગ્યાની સમાધાની છે.

જ્યાં કામગીરી ખર્ચ સ્વીકાર્ય હોય ત્યાં પ્રમાણપત્ર-આધારિત પ્રમાણીકરણને પ્રાધાન્ય આપો, કારણ કે તે વહેંચાયેલા રહસ્યના અનુમાનની સમસ્યા દૂર કરે છે અને દરેક પક્ષને અલગ ઓળખ આપે છે. જ્યાં પૂર્વ-શેર કરેલી કી રહે છે, ત્યાં તેને લાંબી રાખો, તેનો વ્યાપ સાંકડો કરો અને IKE આવૃત્તિને આંતરકાર્યક્ષમતાની વિગત નહીં, સુરક્ષા નિર્ણય તરીકે ગણો.