Mit tesz az előre megosztott kulcs az IPsec, OpenVPN és WireGuard esetében

Az előre megosztott kulcs kifejezés az IPsec, az OpenVPN és a WireGuard dokumentációjában is szerepel, de három különböző objektumot jelöl. Az egyik hitelesítési titok, a másik egy vezérlőcsatornát véd, a harmadik pedig anyagot ad egy kézfogáshoz, amelynek már vannak identitásai. Ha ezeket felcserélhetőnek tekinti, olyan kapcsolatot kap, amely egy senki által nem várt szakaszban hibázik. Olvassa el, mit tesz a mező abban a protokollban, mielőtt értéket másol bele.

Három protokoll, három jelentés

Minden protokoll a saját specifikációjában határozza meg a kulcs feladatát, és ezek a feladatok nem fedik egymást. A hitelesítési titok azt bizonyítja, hogy két fél ugyanazt az értéket ismeri. A vezérlőcsatorna kulcsa védi az utána következő egyeztetést. A kézfogás kiegészítése megváltoztatja a kulcsütemezést, de nem változtatja meg, kik a felek.

Egyik szerep sem hitelesít embert, és éppen ez a zavar viszi el a legtöbb időt. Az előre megosztott kulcsot a csere előtt telepítik az eszközökre vagy átjárókra, ezért minden birtokos ugyanúgy néz ki a másik fél számára. Ez a tulajdonság előny két útválasztó közötti összeköttetésnél, és kockázat nevesített munkatársakkal működő távoli hozzáférési szolgáltatásnál. Tartsa a fiók hitelesítő adatát és a kriptográfiai titkot külön oszlopban abban a dokumentumban, amely az üzembe helyezést leírja.

Az IPsec és az OpenVPN másként használja a szót

Az IKEv2 előre megosztott titokkal is hitelesítheti a partnert tanúsítványok helyett, és az értéknek mindkét oldalon egyeznie kell. Mivel ugyanazt a titkot általában partnerek egy csoportjára állítják be, bármely birtokos megszemélyesítheti a többieket, és a csere nem nyer semmilyen előretekintő titoktartást olyan identitáskulcsokból, amelyekkel soha nem rendelkezett.

Az OpenVPN tls-auth és tls-crypt opciója statikus kulcsot csatol a vezérlőcsatornához, HMAC-aláírást adva hozzá, vagy magát az egyeztetést titkosítva. Ez a kulcs nem felhasználói jelszó, és nem helyettesíti az ügyféltanúsítványt. A kettő megkülönböztetése megújításkor számít, amikor egy jelszócsere érintetlenül hagyja a vezérlőcsatorna kulcsát.

A WireGuard PSK-ja hozzáad, nem azonosít

A WireGuard partnereinek már vannak Curve25519 nyilvános és privát kulcsaik, és a kézfogás ezeket az identitásokat hitelesíti. Az opcionális előre megosztott kulcs belekeveredik a lánckulcsba, és szimmetrikus anyagot ad a nyilvános kulcsok cseréje fölé.

Önmagában nem ad identitást és felhasználói fiókot sem, ezért az üzemeltető nem tud két birtokost a PSK-juk alapján megkülönböztetni. Mindkét félnek ugyanazt az értéket kell hordoznia, különben a kézfogás hasznos hibaüzenet nélkül meghiúsul. Ezért a rotációt mindkét oldalra egyszerre kell megtervezni, nem egyetlen fájl szerkesztéseként.

Ellenőrizze a terjesztést, a rotációt és az eltávolítást

A terjesztés minden olyan terv gyenge pontja, amely egy titkot sok helyen használ. A csevegőablakba illesztett, tárolóban őrzött vagy környezetek között újrahasznált érték olyan másolatokat halmoz fel, amelyeket senki nem tud felsorolni, és minden másolat csendesen tágítja a kár területét.

A Base64 szöveg nem titkosítás. Egy nyilvános tanúsítvány mellett, ugyanabban a könyvtárban tárolt titok továbbra is nyílt titok.

openssl rand -base64 32
sudo wg show wg0 preshared-keys
sudo grep -R -n 'psk' /etc/ipsec.d/ 2>/dev/null

Rotáljon ütemterv szerint és minden gyanús kitettség után, minden tervezett partnert frissítve, mielőtt visszavonja a régi értéket. Utána tesztelje az összeköttetést mindkét végpontból, mert a nem egyező kulcs a kézfogásnál hibázik, és pontosan úgy néz ki, mint egy tűzfalprobléma.

Dokumentálja, melyik titok melyik szakaszt védi, hogy a jelszó-visszaállítás soha ne legyen összetévesztve egy kriptográfiai kulcs megújításával. Az az egy sor minden alkalommal egy órát spórol, amikor valaki auditálja az üzembe helyezést.