Android IKEv2: takardar shaidar mai amfani da CA suna aiki daban

Allon IKEv2 a Android da ke neman takardar shaidar mai amfani da takardar shaidar CA a lokaci ɗaya yana kama da neman abu ɗaya sau biyu. Ba haka ba ne. IKEv2 yana tabbatar da ɓangarorin biyu a dukkan kwatance biyu cikin musayar guda ɗaya, kuma wayar tana da matsayi daban a kowace hanya: dole ta tabbatar da ko ita wanene sannan ta yanke shawarar wace ƙofa ta amince da ita. Takardar shaidar mai amfani tana amsa tambaya ta farko, CA amintacciyar kuma ta biyu, kuma babu ɗaya da ke maye gurbin ɗayan.

Kwatance biyu na tabbatarwa cikin musayar guda

IKEv2 yana gina tashar sarrafawa a matakai biyu. Na farko yana tattauna algorithms da maɓallai; na biyu, IKE_AUTH, yana ɗaukar kayan AUTH guda ɗaya daga kowane ɓangare tare da asalinsa. Kayan aikin sa hannu ne ko MAC a kan musayar, kuma ana tabbatar da shi da wani abu da mai karɓa ya riga ya amince da shi.

Ƙofar tana tabbatar da kanta da nata takardar shaidar, wayar kuma tana duba sarkar har zuwa tushen da ta amince da shi sannan ta duba cewa asalin da ke cikin takardar ya dace da ƙofar da take son isa gare ta; wayar tana tabbatar da kanta da shaidarta, ƙofar kuma tana duba su da CA da ta bayar da takardar shaidar abokin ciniki.

Wannan shi ne dukan tsarin da ke bayan filayen biyu. Takardar shaidar mai amfani magana ce da wayar ke yi game da kanta; filin CA magana ce game da wanda wayar za ta amince da shi. Bayani da ke da ɗaya amma ba ɗayan ba zai iya kammala tabbatarwa ta juna ba, kuma sake gwadawa ba ya canza hakan. Har ma rashin nasarar ya bambanta: idan babu maɓallin mai amfani wayar ba za ta iya sa hannu kwata-kwata ba, idan babu gindin amincewa ba za ta iya karɓar takardar shaidar ƙofar ba.

Abin da mai gina bayanin Android yake nema

Mai gina bayanin IKEv2 na Android yana gabatar da kowace hanyar tabbatarwa daban, ba a matsayin yanayin takarda guda ɗaya ba. Hanyar sa hannu na dijital tana ɗaukar takardar shaidar mai amfani, maɓalli na sirri da tushen CA na uwar garke; sauran suna ɗaukar sunan mai amfani da kalmar sirri, ko maɓalli da aka riga aka raba.

Karanta wancan sa hannu da kyau, domin yana bayanin tsarin da ke sama. Babu filin maɓallin sirri a hanyar suna da kalmar sirri, babu filin gindin amincewa a hanyar PSK, domin waɗannan hanyoyin suna tabbatar da abubuwa daban. Liƙa kalmar sirri cikin filin takarda yana haifar da bayanin da zai gaza a IKE_AUTH da saƙon da ba ya ambata ɗaya cikinsu.

Nau'in maɓallin sirri da aka rubuta don hanyar sa hannu na dijital shi ne RSA. Menu mai alamar IPsec ko takarda ba ya nufin goyon bayan ECDSA, kuma bayanin da aka gina bisa wannan zato yana gaza a API na dandamali kafin ma cibiyar sadarwa ta shigo.

Me ya sa takardar shaidar mai amfani ta jama’a kaɗai ba ta isa ba

Kayan AUTH sa hannu ne a kan musayar da aka yi da maɓallin sirri na abokin ciniki. Takardar shaidar jama’a tana ba ƙofar damar duba sa hannu, amma ba ta yi wa wayar komai, domin tana buƙatar maɓallin don samar da shi. Shigo da .crt kaɗai sannan a bar maɓallin a baya shi ne mafi yawan nau’in wannan gazawar.

Tsarin maɓallai na Android yana nuna hakan: zaɓar asalin abokin ciniki yana wucewa ta KeyChain, wanda ke buƙatar damar shiga maɓallin sirri mai dacewa, ba wai shigar da takarda kawai ba. Kunshin rajista ko tsarin sarrafa na’urar da ke girka ma’aurin tare shi ne hanyar da aka saba samun asali mai amfani; kwafin fayil da hannu ba haka ba ne.

Don haka abubuwan biyu a cikin bayanin ba tarin takardu da kwafinsa ba ne. Ɗaya ma’aurin maɓalli ne da dandamali dole ya iya sa hannu da shi, ɗayan kuma gindin amincewa ne da yake kwatanta da shi. Duba su a matsayin gaskiya biyu daban: shin wannan bayanin zai iya sa hannu, kuma ya san wanda zai amince da shi?

Gindin amincewa na manhaja ne, ba na wayar ba

Sanya tushe a cikin ajiyar mai amfani ba ya sa kowace manhajar Android ta amince da shi: tun Android 7 manhaja dole ta zaɓi hakan ta hanyar saitin tsaron cibiyar sadarwata, kuma kafin wannan fitowar an fi karɓar CA da mai amfani ya sanya sosai. Saitin amincewa na iya bambanta, kuma abokin ciniki na VPN da ke sarrafa kayan amincewarsa da kansa yana iya rashin duba ajiyar mai amfani kwata-kwata. Shi ya sa fayil ɗaya na CA zai iya aiki a wani abokin ciniki kuma ya yi kama da an yi watsi da shi a wani.

Daga nan ne matsayin mallaka biyu suka zo. Bayanin da tsarin ke sarrafawa yana amfani da girkin takardu na na’urar ko rajistar mai gudanarwa sannan yana nuni ga CA da ake so. VPN da manhaja ke sarrafawa yana riƙe da kayan amincewarsa da nasa shigarwar da aka rubuta, wadda za ta iya bambanta gaba ɗaya da allon saituna na Android. A nan ne kuma ake gyara sarkar da ta karye.

Yanke shawara a wace hanya kuke kafin shigo da wani abu, sannan tabbatar da zaɓin amincewa na bayanin da ke aiki. Idan umarnin mai gudanarwa da menu na abokin ciniki ba su dace ba, halin da aka rubuta na abokin ciniki ne zai yi nasara ga wannan girkin, amma CA dole ya fito daga mai gudanarwa ta hanyar da za ka iya tabbatarwa. Sunan fayil ba hujja ba ce kan wanda ya bayar da shi.

Zaɓi yanayin, sannan fayilolin

Yanayin takarda yana buƙatar ma’aurin maɓalli na abokin ciniki, CA mai bayarwa a gefen ƙofar, gindin amincewa ga takardar shaidar ƙofar da kuma tsammanin wane asali takardar za ta ɗauka. Suna da kalmar sirri suna maye gurbin ma’aurin da shaidu amma suna riƙe da buƙatar amincewa da ƙofar. PSK yana maye gurbin duka biyu da sirri da aka raba kuma yana canza tsarin amincewa maimakon sauƙaƙa shi.

Duk abin da ka zaɓa, bar tabbatarwa ta al’ada a kunne. Zaɓin rashin tabbatarwa yana cire binciken da filin CA ya ke don shi; ba ya gyara gindin amincewa da ya ɓace. Haka kuma game da karɓar kowace takardar shaidar uwar garke saboda haɗin yana aiki ba tare da ita ba.

Sannan tabbatar a wurin da ya dace: shigo da kayan, haɗa sau ɗaya, kuma a cikin bayanan haɗin tabbatar cewa asalin ƙofar shi ne wanda ka sa rai kuma bayanin yana bayar da hanyar da ka nufa. Haɗi mai nasara da hanyar da ba daidai ba saitin ne da ba ka fahimta ba tukuna, kuma zai gaza lokacin da mai gudanarwa ya tsaurara manufa.