एन्क्रिप्शन डेटा छिपाता है; प्रमाणीकरण साथी की पहचान बताता है
एन्क्रिप्शन सामग्री की रक्षा करता है, साथी का प्रमाणीकरण सर्वर की पहचान बताता है, और अनुमति तय करती है कि कोई पहचान क्या खोल सकती है। VPN डिज़ाइन में तीनों पूछें।
साथी की जाँच के बिना एन्क्रिप्शन गोपनीय बातचीत गलत पक्ष तक पहुँचा सकता है। अनुमति के बिना प्रमाणीकरण साबित करता है कि कौन जुड़ा, पर यह नहीं कि वह क्या खोल सकता है। ये तीन अलग नियंत्रण हैं, और केवल सिफ़र के बारे में पूछने वाली VPN समीक्षा इनमें से एक का उत्तर देती है। कोई भी सेटिंग पृष्ठ खोलने से पहले प्रश्नों को क्रम में रखें।
इसे सुरक्षित कहने से पहले चार प्रश्न
समीक्षा को चार प्रश्न तय करते हैं: देखने वाले क्या पढ़ सकते हैं, कौन सा सर्वर उत्तर देता है, कौन जुड़ता है, और उस पहचान को क्या इस्तेमाल करने की अनुमति है। पहले का उत्तर एन्क्रिप्शन देता है, दूसरे का साथी का प्रमाणीकरण, तीसरे का उपयोगकर्ता या डिवाइस का प्रमाणीकरण और अंतिम का अनुमति। सिफ़र का नाम या सफल लॉगिन केवल आंशिक उत्तर है।
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
एक पंक्ति को अनुत्तरित छोड़ने वाला डिज़ाइन दूसरी को मज़बूत करने से सुरक्षित नहीं होता। नियंत्रण एक-दूसरे के पूरक हैं, बदले जाने योग्य नहीं।
साथी का प्रमाणीकरण लॉगिन नहीं है
क्लाइंट जाँचता है कि सर्वर वही है जो उसका इरादा था, कॉन्फ़िगर किए गए प्रमाणपत्रों, सार्वजनिक कुंजियों या किसी अन्य समर्थित तंत्र का उपयोग करके। कोई विश्वसनीय प्रमाणपत्र प्राधिकरण अपने द्वारा जारी हर प्रमाणपत्र को सही सर्वर नहीं बनाता, इसलिए पहचान की जाँच अभी भी महत्वपूर्ण है। किसी असत्यापित एंडपॉइंट में वैध पासवर्ड टाइप करना उसे भरोसेमंद नहीं बनाता। पासवर्ड केवल यह साबित करता है कि आपने जिसने भी उत्तर दिया, उसके सामने प्रमाणीकरण करने की इच्छा रखी।
WireGuard वही विचार भिन्न साधनों से दिखाता है: कॉन्फ़िगर की गई साथी-कुंजी ब्राउज़र-शैली के प्रमाणपत्र संकेत के बिना पहचान की जाँच करती है। बहुत से उपयोगकर्ताओं को ज्ञात साझा रहस्य किसी एक व्यक्ति से अधिक समूह की पहचान कराता है, इसलिए अद्वितीय डिवाइस क्रेडेंशियल अक्सर अधिक मज़बूत पहचान रखता है।
प्रमाणित एन्क्रिप्शन एक क्रिप्टोग्राफ़िक शब्द है
प्रमाणित एन्क्रिप्शन का अर्थ है कि सिफ़र गोपनीयता की रक्षा करता है और अनधिकृत परिवर्तनों का पता लगाता है। इसका अर्थ यह नहीं कि कोई मनुष्य लॉगिन हुआ, और यह तय नहीं करता कि कोई खाता कौन सी फ़ाइलें खोल सकता है। सिफ़र-सूट का नाम एक रचना का वर्णन करता है, दो पक्षों के संबंध का नहीं। पैकेट की अखंडता, साथी की पहचान और खाते की अनुमतियाँ संबंधित आवश्यकताएँ हैं जिनके अलग प्रमाण हैं।
RFC 5280 विश्वास प्रोफ़ाइल प्रमाणपत्र पथों और पहचान जाँचों का संदर्भ है जब परिनियोजन X.509 का उपयोग करता है। इसे पढ़ना प्रमाणित शब्द को सुरक्षित का पर्याय मानने से अधिक उपयोगी है।
नियंत्रण कमज़ोर करने से पहले विफलता पढ़ें
समाप्त प्रमाणपत्र, गलत सिस्टम घड़ी और अप्रत्याशित सर्वर पहचान—हर एक का अपना सुधार है। अस्वीकृत खाते का दूसरा है। यदि सर्वर वैध रूप से बदला है, तो सत्यापित ऑपरेटर से अद्यतन विश्वास सामग्री लें। टनल के जुड़ने के लिए पहचान की जाँच हटाना दृश्य विफलता को अदृश्य से बदल देता है।
उन क्रेडेंशियल की रक्षा करें जिन पर टनल निर्भर है। प्रोफ़ाइल में निजी कुंजी हो सकती है, और सहेजा गया पासवर्ड दूरस्थ पहुँच दे सकता है। जब एक लीक हो, तो सेवा की खाता या कुंजी-प्रबंधन प्रक्रिया अपनाएँ, क्योंकि क्लाइंट निर्देशिका में दूसरा देश चुनने से पुरानी पहचान रद्द नहीं होती।