Mielőtt IPsec-et Shadowsocksra cserél, listázza a hiányzó feladatokat

Három szolgáltatás, egy alagút: egy webalkalmazás, egy adatbázis és egy fájlmegosztás. Valaki azt javasolja, cseréljük le az IPsec-et Shadowsocksra, mert egyszerűbb üzemeltetni. A következő titkosítási vita elvéti a lényeget, mert az alagút egyszerre több feladatot lát el, és csak az egyik szól a rejtjelekről. Írja fel ezeket a feladatokat, mielőtt termékeket hasonlít össze. A lista rövid, és bármelyik pont érvénytelenítheti a cserét.

Kezdje azzal, hogyan kapják el a forgalmat

A protokollnak két fele van. Egy helyi komponens kapcsolatot fogad, titkosít egy folyamot, amely a célcímmel kezdődik, és elküldi egy távoli komponensnek. A távoli fél kapcsolatot nyit ehhez a célhoz, és továbbítja a bájtokat. Az UDP ugyanezt a formát követi datagramokkal. Ez továbbítás azoknak a folyamoknak, amelyeket elkap, és semmit sem mond azokról, amelyeket nem kap el. Egy alkalmazás, amely kifejezetten proxyval beszél, könnyű; minden másnak adapterre vagy útválasztási szabályokra van szüksége, hogy egyáltalán elkapják.

Dokumentálja az elkapás módját alkalmazásonként, mielőtt bármi mást összehasonlít. Az el nem kapott forgalom a szokásos úton távozik, és senki sem veszi észre, amíg egy szolgáltatás az irodán kívül másként nem viselkedik.

Nevezze meg minden célt és protokollt

A távoli félnek el kell érnie minden belső szolgáltatást. Egy működő titkosított munkamenet ahhoz a hoszthoz nem ad útvonalat onnan az adatbázishoz, és nem oldja fel a belső neveket a kliensen. Sorolja fel a címeket, portokat és protokollokat, ahelyett hogy azt írná, a LAN benne van.

Adja hozzá azokat az eseteket, amelyek szétzúzzák a rendezett terveket: belső DNS, a proxybeállításokat figyelmen kívül hagyó alkalmazások, és minden folyam, amelyet a kiszolgálóról a kliens felé kell indítani. Mindegyikük kifejezett megegyezést igényel, nem feltételezést.

A titkosítás nem engedélyezés

A Shadowsocks dokumentált AEAD-módszerei hitelesített titkosítást nyújtanak, tehát az egész családot bizonytalannak minősíteni tévedés. Ugyanilyen tévedés hagyni, hogy ez a tény válaszoljon a hozzáférés kérdésére. Valakinek el kell döntenie, ki melyik szolgáltatást éri el, hogyan vonják meg a hozzáférést, amikor valaki távozik, hol tárolják a titkokat, és melyik komponens kényszeríti ki a határt. Egyetlen közös titok minden birtokosának ugyanazt az elérést adja, és egy ember kiléptetése mindenki számára rotációvá válik.

Tartsa a jelenlegi IPsec-beállítást ugyanahhoz a mércéhez. A címkéje nem bizonyítja, hogy a szabályai helyesek, és az egyik terv kifényesített változatának összevetése a másik homályos változatával semmit sem dönt el.

Sorolja fel a ma mindkét oldalon létező ellenőrzéseket, majd ítélje meg, mely hiányosságokkal tud együtt élni.

Számolja meg az üzemeltetési munkát

Minden cseréhez kell egy felelős a klienscsomagokért, a kiszolgálófrissítésekért, a hitelesítő adatok rotációjáért és a hibák kezeléséért. Jegyezze fel, mit tesz az egyes alkalmazás, amikor az alagút nem elérhető: meghiúsul, újrapróbál a helyi úton, vagy vár. Ez a viselkedés a telepítésből jön, nem a protokoll nevéből.

Egy webalkalmazáshoz egy szűk proxy elegendő lehet. A teljes hálózat eléréséhez személyenkénti jogosultságokkal a kiegészítő darabok általában többe kerülnek, mint a lecserélt alagút.

A döntés nem az, melyik termék hangzik biztonságosabbnak. Hanem az, melyik terv fejezi be a felsorolt feladatokat olyan ellenőrzésekkel, amelyeket a csapat valóban fenntart.