Sirrin simmetric vs. na jama'a a cikin VPN: abin da kowanne yake yi

Mutane suna kwatanta VPN a matsayin „mai amfani da sirrin maɓallin jama'a“ sannan su yi tunanin kowane fakiti ana kulle shi da takardar shaidar uwar garke. Wannan hoton ba daidai ba ne a hanyar da ke da muhimmanci lokacin da kake karanta fayil ɗin saiti ko rikodin fakiti. Rabin maɓallin jama'a na VPN game da tabbatar da wanene abokin hulɗa da yarjejeniya kan kayan sirri ne; rabin simmetric shine abin da ke kare zirga-zirga da gaske, fakiti bayan fakiti, tsawon rayuwar zaman.

Raɓin biyu suna da tsawon rai daban, hanyoyin gazawa daban da abubuwa daban da za ka iya wallafawa lafiya. Da zarar ka raba su, tambayoyi irin su „shin RSA 2048 ya fi AES-128 rauni“ sun daina rikitarwa, domin ba a taɓa kwatanta su ba.

Ayyuka uku da ake haɗawa

Sirrin maɓallin jama'a laima ne a kan aƙalla ayyuka uku daban. Sa hannu yana tabbatar da cewa mai riƙe da maɓallin sirri ya amince da wani saƙo. Yarjejeniyar maɓalli tana ba abokan hulɗa biyu damar samo sirri na tarayya daga ƙimar da suke musayar a fili. Sirrin maɓallin jama'a yana ɓoye bayanai ƙarƙashin maɓallin jama'a na wani don haka kawai maɓallin sirri zai iya buɗe shi.

Musafaha na VPN galibi suna amfani da biyun farko. Takardar shaida ba maɓallin rufewa ba ce; sanarwa ce da aka sa hannu wadda ke ɗaure suna da maɓallin jama'a, kuma tana ba ɗayan gefen damar yanke shawara ko zai amince da maɓallin da ya karɓa yanzu. Misali, kafa maɓallin TLS 1.3 ya dogara ne akan yarjejeniyar maɓalli (EC)DHE da sa hannun takardun shaida, ba akan rufa da zaman da maɓallin jama'a na uwar garke ba.

Abin da musafaha yake samarwa da gaske

A cikin musafaha na zamani, kowane gefe yana ƙirƙirar maɓallai na ɗan lokaci, suna musayar rabin jama'a kuma suna lissafin sirrin tarayya wanda ba ya taɓa wucewa ta waya. Wannan sirrin sannan yana wucewa ta aikin samo maɓalli don samar da maɓallai daban na kowane alkibla, tare da nonces da kayan IV da ake buƙata. WireGuard yana yin haka da gininsa na tushen Noise; TLS 1.3 yana yin haka da HKDF a kan rubutun musafaha.

Shaidar dogon lokaci — takardar shaida da maɓallin sirri, ko maɓallin WireGuard a tsaye — tana tabbatar da wannan musayar. Yana sa hannu ko haɗawa cikin rubutun don baƙo ba zai iya kammala musafaha a madadin abokin hulɗa ba. Bayan haka, shaidar ba ta yin aiki ga kowane fakiti. Idan ta yi, kowane fakiti zai buƙaci aikin maɓallin sirri, kuma hanyar da ta cika zata iyakance ta hanyar aiki mafi jinkiri a cikin tarin.

Sakamakon biyu na biyo baya. Na farko, maɓallan zaman sababbi ne kowace lokaci, shi ya sa mai hari da zai sace maɓallin dogon lokaci daga baya ba zai iya buɗe zaman da aka yi rikodi a baya ba, matuƙar yarjejeniyar ta kasance ta ɗan lokaci. Na biyu, maɓallin zaman da ya fallasa yana lalata zaman ɗaya, ba asali ba.

Me ya sa manyan bayanai ke amfani da maɓallan simmetric

Sirrin simmetric suna ɗaukar yawa da kyau: AES-GCM ko ChaCha20-Poly1305 suna sarrafa kowane fakiti da maɓallin da ke cikin ƙwaƙwalwa tuni, suna tabbatar da kan shafi kuma suna ƙara ƙididdiga. Gefen karɓa yana duba nonce da alamar tabbatarwa, kuma yana watsar da duk abin da ya gaza ko aka maimaita. Wannan yana da arha isa don gudana a saurin layi akan kayan aiki na yau da kullum, kuma gini ɗaya yana ba da sirri da aminci a bugu ɗaya.

Ginin shine kuma inda yawancin kurakuran aiwatarwa ke rayuwa. Maimaita nonce a GCM yana karya sirri da sahihanci lokaci ɗaya, don haka ka'idoji suna samo maɓallai ga kowace alkibla kuma suna riƙe ƙididdiga ko zamani bayyananne. Idan kana karanta rikodin fakiti kuma tsawon rubutun da aka rufa ya yi daidai da rubutun fili da wani ƙari na dindindin, to rufin simmetric ne ke aiki, ba aikin maɓallin jama'a ga kowane fakiti ba.

Tsawon rai, sabunta maɓalli da sirrin gaba

An yi maɓallan zaman ne don su ƙare. TLS 1.3 yana ba da izinin saƙon KeyUpdate ya juya maɓallan zirga-zirga; WireGuard yana sabunta zaman bayan lokaci ko adadin saƙonni da aka saita kuma yana riƙe tsohon na ɗan lokaci don fakiti a hanya. OpenVPN yana sake tattaunawa kan maɓallan tashar bayanansa bisa jadawali, reneg-sec yana sarrafa tazara.

Babu ɗaya daga cikin wannan juyawa da ya yi daidai da sabunta takardar shaida. Takardar shaida na iya yin aiki shekara ɗaya yayin da maɓallan zaman ke canzawa kowane 'yan mintuna, kuma ana iya maye gurbin takardar shaida ba tare da taɓa maɓallan hanyar da ke gudana ba. Lokacin da kake shirin ƙarewa, tambaya wane abu kake juyawa; amsar ita ce ke yanke shawarar ko abokan ciniki za su sake haɗawa ko kawai su sabunta maɓalli.

Karanta saitin da bincike ba tare da haɗa abubuwa ba

A aikace kana zaɓar cikakken ka'ida da abubuwan da ta tallafa, ba kana haɗa naka ba. Maɓallin --tls-crypt na OpenVPN yana kare tashar sarrafawa; tashar bayanai tana amfani da sirrin simmetric da aka tattauna. Shigarwar PrivateKey da PublicKey na WireGuard kayan asali ne, yayin da maɓallan jigilarsa aka samo su a ciki. Karanta waɗannan filayen a matsayin irin sirri ɗaya yana kaiwa ga kurakurai kamar liƙa maɓallin jama'a inda maɓallin sirri ya kamata.

Ka riƙe kayan jama'a dabam da na sirri. Takardar shaida, maɓallin jama'a na WireGuard da sawun yatsa suna da lafiya a raba cikin tikiti. Maɓallin sirri, maɓallin da aka riga aka raba da maɓallin zaman da aka fitar ba haka ba ne. Lokacin da kake kwatanta ƙarfi, kwatanta cikin nau'i ɗaya: mai gano lanƙwan elliptic, girman modulus na RSA da girman maɓallin AES suna auna abubuwa daban a ƙarƙashin hasashe daban. Ƙayyadaddun TLS 1.3 jagora ne mai amfani kan yadda matakan biyu suka dace, ko da hanyarka ba TLS ba ce.