Me ya sa fakitin VPN da aka rufa da asiri zai iya ci kaɗan fiye da yadda kuke tsammani

Ana auna furofayil biyu a kan ƙofar hanyar sadarwa ɗaya, ɗaya da rufin asiri ɗaya kuma ba tare da shi ba, kuma wanda aka rufa bai fi jinkiri ba. Wani lokaci yana da sauri, wanda yawanci ke haifar da doguwar muhawara kan ko an gudanar da gwajin daidai. Sakamakon yana da ma’ana, domin kuɗin fakiti ba adadin kalmomin kripto a cikin tsarin ba ne. Shi ne tarin ayyukan da aiwatarwar ke yi, a kan kayan aikin da take da shi, bisa tsarin buffer da ta zaɓa.

Alamar: ba furofayil ɗin da aka rufa ba ne mai jinkiri

A ce wani gwaji na tarihi ya kwatanta sifar AEAD da yanayin „babu rufin asiri“ wanda har yanzu yana ƙididdige lambar tabbatarwa daban ga kowane fakiti. Furofayil na biyu yana ɓoye abin da ke cikin kaya amma yana riƙe da hash ga kowane fakiti, kuma a kan na’urar sarrafawa da ba ta da hanzari ga wannan hash zai iya ci fiye da ginanniyar ginin da ya kamata ya doke.

Alamar da ke cikin tsarin tana cewa „rufin asiri“, kuma alamar ita ce duk abin da yawancin kwatance ke kallo. Hanyar fakiti tana faɗin wani abu daban: furofayil ɗaya yana yin haɗaɗɗiyar aiki da CPU ke da umarni a kansa, ɗayan kuma yana yin wani daban wanda ba shi da shi. Karanta fayil ɗin tsari shi kaɗai ba zai taɓa bayyana wannan bambanci ba, domin duka shigarwar biyu suna kama da layi ɗaya. Yanayin da aka amince da shi da hanyar lambar da ke bayansa ne kaɗai ke bayyana sakamakon.

Wannan shi ne dukan bayanin, kuma baya buƙatar wata iƙirari kan wace hanya ce ta fi sauri a duniya. Duka biyu na iya zama masu sauri, duka biyu na iya zama masu jinkiri, kuma tsari ya dogara da na’ura da lambar.

Ƙidaya ayyuka, ba alamomi ba

Ginin AEAD, kamar yadda RFC 5116 ya bayyana, yana ba aiwatarwa hanyar sadarwa ɗaya da ke mayar da rufaffiyar rubutu da tambari tare. AES-GCM misali ɗaya ne: rufin asiri a yanayin ƙidayawa haɗe da mai tabbatarwa na Galois. Hanyar ba ta mai da aminci kyauta ba; tana mai da haɗin ya zama bayyananne, kuma wannan ne ke ba aiwatarwa damar inganta ma’auratan a matsayin raka’a ɗaya.

Separate authentication path:
  payload -> independent HMAC -> framed packet

AEAD path:
  payload -> authenticated encryption with tag -> framed packet

Waɗannan zane-zanen sarrafawa ne, ba shawarwarin tsari ba. Na farko ba shi da sirri amma har yanzu yana kashe CPU wajen tabbatarwa, kuma shi ne dalilin da ya sa „kashe rufin asiri“ ba ma’anar „kashe aikin kripto“ ba.

Na biyu na iya zama mai rahusa domin na’urorin sarrafawa suna ba da umarni ga duka rabi: zagayen AES da ninkin da ba shi da ɗaukar matsayi wanda filin Galois ke amfani da shi. Ɗakunan karatu kuma suna sarrafa buffers masu zaman kansu a lokaci ɗaya, wanda ke riƙe waɗannan umarnin a shagaltu maimakon jira ƙwaƙwalwa.

Abin da yanayin da aka amince da shi ke ba da damar a zahiri

Da Community OpenVPN, sifar bayanan AEAD tana nufin zaɓin auth ba ya ba da nasa HMAC na tashar bayanai daban. Mai nuni ga zaɓin rufin asiri yana bayyana wannan iyaka, kuma shi ne dalilin da ya sa tsare-tsare biyu da suka yi kama a fayil ɗin rubutu za su iya bambanta a aikin kowane fakiti.

Karanta yanayin da aka amince da shi maimakon jerin buri. Jerin sifofin da aka yarda da su da sunan tarin TLS ba sa gaya muku waɗanne ayyuka ake yi a kan kaya, kuma tsohon layin cipher mai yiwuwa ba ya bayyana abin da haɗin yanzu ya zaɓa.

openvpn --show-ciphers | head -20
sudo grep -E 'cipher|auth' /etc/openvpn/server.conf

Umarni na farko yana lissafa sifofin da binary ɗin ke tallafawa, wanda jerin iyawa ne ba sakamakon da aka amince da shi ba. Na biyu yana nuna abin da uwar garke ke nema a zahiri. Rubutun haɗin ne wurin tabbatar da zaɓi na ƙarshe, domin abokin ciniki na iya fadowa kan wani abu da uwar garke ta yarda amma babu wanda ya yi niyya.

Auna nauyin aikin da kuke gudanarwa a zahiri

Ƙaramin ma’aunin kripto yana auna hanya a ƙarƙashin yanayinta. Canja wurin VPN kuma yana kwafa buffers, yana tsara zare ko katsewa, yana duba manufa kuma yana ratsa hanyar sadarwa. Waɗannan sassan sukan mamaye, wanda shine dalilin da ya sa hanya mafi sauri ba koyaushe ke samar da rami mafi sauri ba.

openssl speed -evp aes-256-gcm
openssl speed -evp sha1

Waɗannan umarni biyu suna ba ku kwatanci na gida na kusan na hanyoyin a kan na’urar da ke gaban ku, kuma suna da gaskiya cewa ƙananan ma’auni ne. Ba su faɗin komai game da iyawar ramin ku, kuma bai kamata a taɓa ambaton su haka ba.

Sannan auna nauyin da ke da muhimmanci, tare da kiyaye duk sauran a daidai: wurin ƙarshe ɗaya, girman fakiti ɗaya, jigila ɗaya, manufar matsewa ɗaya. Idan canjin furofayil ya kuma canza jigila ko wurin sarrafawa, sakamakon yana bayyana wannan tarin ne ba kripto ba.

Kuma ku riƙe manufar a gani. Hanyar bayanai da ke da ƙarin ƙarfin kripto na iya kasancewa mai ɗaure da jinkiri domin manhajar tana jiran tafiye-tafiye na komowa, kuma ribar ƙarfin girma ba ta gyara yarjejeniya mai yawan magana. Auna tsarin da aka tallafa kuma manufa ta amince da shi gaba ɗaya, kuma ɗauki „ƙananan akwatuna dole su fi sauri“ a matsayin hasashe da yake. Tambaya mai amfani ba ita ce ko rufin asiri yana da wani kuɗi ba, amma ko kuɗin yana bayyana a ma’aunin da kuke damu da shi da gaske.