IPsec, OpenVPN અને WireGuard માં પહેલેથી વહેંચાયેલી કી શું કરે છે

પહેલેથી વહેંચાયેલી કી શબ્દો IPsec, OpenVPN અને WireGuard ના દસ્તાવેજોમાં આવે છે, પણ ત્રણ અલગ વસ્તુઓ દર્શાવે છે. એક પ્રમાણીકરણનું રહસ્ય છે, બીજી નિયંત્રણ ચેનલનું રક્ષણ કરે છે, અને ત્રીજી પહેલેથી ઓળખ ધરાવતા હેન્ડશેકમાં સામગ્રી ઉમેરે છે. તેમને અદલાબદલી યોગ્ય ગણવાથી એવું જોડાણ બને છે જે કોઈએ અપેક્ષા ન રાખેલા તબક્કે નિષ્ફળ જાય છે. મૂલ્ય તેમાં નકલ કરતા પહેલાં વાંચો કે તે ક્ષેત્ર તે પ્રોટોકોલમાં શું કરે છે.

ત્રણ પ્રોટોકોલ, ત્રણ અર્થ

દરેક પ્રોટોકોલ કીનું કાર્ય પોતાની વિશિષ્ટતામાં નક્કી કરે છે અને આ કાર્યો એકબીજા પર ચઢતા નથી. પ્રમાણીકરણનું રહસ્ય સાબિત કરે છે કે બે પક્ષ એક જ મૂલ્ય જાણે છે. નિયંત્રણ ચેનલની કી પછીની વાટાઘાટનું રક્ષણ કરે છે. હેન્ડશેકનો વધારો કી-સમયપત્રક બદલે છે પણ પક્ષ કોણ છે તે બદલતો નથી.

આમાંથી કોઈ ભૂમિકા માણસની પ્રમાણિકતા ચકાસતી નથી, અને સૌથી વધુ સમય આ ગૂંચવણ જ લે છે. પહેલેથી વહેંચાયેલી કી આદાનપ્રદાન પહેલાં ઉપકરણો કે ગેટવે પર મૂકાય છે, તેથી દરેક ધારક બીજી બાજુને સરખો દેખાય છે. આ ગુણ બે રાઉટર વચ્ચેના જોડાણ માટે ફાયદો છે અને નામ આપેલા કર્મચારીઓવાળી દૂરસ્થ પ્રવેશ સેવા માટે જોખમ. ખાતાની ઓળખપત્રક અને ક્રિપ્ટોગ્રાફિક રહસ્યને તૈનાતીનું વર્ણન કરતા દસ્તાવેજના અલગ કૉલમમાં રાખો.

IPsec અને OpenVPN આ શબ્દ જુદી રીતે વાપરે છે

IKEv2 કોઈ પક્ષની પ્રમાણિકતા પ્રમાણપત્રોને બદલે પહેલેથી વહેંચાયેલા રહસ્યથી ચકાસી શકે છે, અને મૂલ્ય બંને છેડે મેળ ખાવું જોઈએ. તે જ રહસ્ય સામાન્ય રીતે પક્ષોના જૂથ માટે સેટ થતું હોવાથી, કોઈપણ ધારક બીજાનું રૂપ ધારણ કરી શકે છે, અને આદાનપ્રદાનને કદી ન હતી તેવી ઓળખ કીમાંથી આગળની ગોપનીયતા મળતી નથી.

OpenVPN ના tls-auth અને tls-crypt વિકલ્પો નિયંત્રણ ચેનલ સાથે સ્થિર કી જોડે છે, કાં તો HMAC સહી ઉમેરે છે અથવા જાતે વાટાઘાટને એન્ક્રિપ્ટ કરે છે. તે કી વપરાશકર્તા પાસવર્ડ નથી અને ક્લાયન્ટ પ્રમાણપત્રની જગ્યા લેતી નથી. બંને વચ્ચેનો ફરક નવીકરણ સમયે મહત્ત્વનો છે, જ્યારે પાસવર્ડ બદલવાથી નિયંત્રણ ચેનલની કી અસ્પૃષ્ટ રહે છે.

WireGuard ની PSK ઉમેરે છે, ઓળખ આપતી નથી

WireGuard ના પક્ષો પાસે પહેલેથી Curve25519 ની જાહેર અને ખાનગી કી છે અને હેન્ડશેક આ ઓળખોની પ્રમાણિકતા ચકાસે છે. વૈકલ્પિક પહેલેથી વહેંચાયેલી કી શૃંખલા-કીમાં ભળે છે અને જાહેર કીના આદાનપ્રદાન ઉપર સમમિત સામગ્રી ઉમેરે છે.

તે પોતે ન ઓળખ આપે છે ન વપરાશકર્તા ખાતું, તેથી ઓપરેટર બે ધારકને તેમની PSK દ્વારા અલગ તારવી શકતો નથી. બંને છેડે એક જ મૂલ્ય હોવું જોઈએ, નહીં તો હેન્ડશેક કોઈ ઉપયોગી ભૂલ સંદેશ વિના નિષ્ફળ જાય છે. તેથી પરિભ્રમણનું આયોજન બંને પક્ષો માટે એકસાથે કરવું પડે છે, એક ફાઇલ સંપાદિત કરવા જેવું નહીં.

વિતરણ, પરિભ્રમણ અને દૂર કરવાનું તપાસો

વિતરણ એ દરેક એવી રચનાનું નબળું બિંદુ છે જે એક રહસ્ય ઘણી જગ્યાએ વાપરે છે. ચેટ વિન્ડોમાં ચોંટાડાયેલું, ભંડારમાં સંઘરાયેલું કે પર્યાવરણો વચ્ચે ફરી વપરાયેલું મૂલ્ય એવી નકલો એકઠી કરે છે જે કોઈ ગણી શકતું નથી, અને દરેક નકલ શાંતિથી નુકસાનનો વ્યાપ વધારે છે.

Base64 લખાણ એન્ક્રિપ્શન નથી. તે જ ફોલ્ડરમાં જાહેર પ્રમાણપત્રની બાજુમાં રાખેલું રહસ્ય હજી ખુલ્લા લખાણમાં રહસ્ય છે.

openssl rand -base64 32
sudo wg show wg0 preshared-keys
sudo grep -R -n 'psk' /etc/ipsec.d/ 2>/dev/null

સમયપત્રક મુજબ અને કોઈપણ શંકાસ્પદ ખુલાસા પછી પરિભ્રમણ કરો, અને જૂનું મૂલ્ય રદ કરતા પહેલાં દરેક ઇચ્છિત પક્ષને અદ્યતન કરો. પછી જોડાણને બંને છેડેથી ચકાસો, કારણ કે ન મળતી કી હેન્ડશેકમાં નિષ્ફળ જાય છે અને બરાબર ફાયરવૉલની સમસ્યા જેવી દેખાય છે.

કયું રહસ્ય કયા તબક્કાનું રક્ષણ કરે છે તે નોંધો, જેથી પાસવર્ડ રીસેટ કદી ક્રિપ્ટોગ્રાફિક કીના નવીકરણ સાથે ભળી ન જાય. તે એક લીટી દર વખતે એક કલાક બચાવે છે જ્યારે કોઈ તૈનાતીની સમીક્ષા કરે છે.