Գաղտնագրումը թաքցնում է տվյալները, նույնականացումը անվանում է զուգընկերոջը
Գաղտնագրումը պաշտպանում է բովանդակությունը, զուգընկերոջ նույնականացումը անվանում է սերվերը, իսկ լիազորումը որոշում է, թե ինչ կարող է բացել ինքնությունը։ Հարցրեք բոլոր երեքը VPN-ի նախագծում։
Զուգընկերոջ ստուգումից զուրկ գաղտնագրումը կարող է գաղտնի զրույցը հասցնել սխալ կողմին։ Առանց լիազորման նույնականացումը ապացուցում է, թե ով է միացել, բայց ոչ այն, թե ինչ կարող է բացել։ Սրանք երեք առանձին վերահսկիչներ են, և VPN-ի ակնարկը, որը հարցնում է միայն գաղտնագրի մասին, պատասխանում է դրանցից մեկին։ Կարգավորեք հարցերը նախքան որևէ կարգավորումների էջ բացելը։
Չորս հարց՝ նախքան այն անվտանգ անվանելը
Չորս հարց են կազմում ակնարկի շրջանակը՝ ինչ կարող են կարդալ դիտորդները, որ սերվերն է պատասխանում, ով է միանում և ինչ է թույլատրվում օգտագործել այդ ինքնությանը։ Առաջինին պատասխանում է գաղտնագրումը, երկրորդին՝ զուգընկերոջ նույնականացումը, երրորդին՝ օգտատիրոջ կամ սարքի նույնականացումը, իսկ վերջինին՝ լիազորումը։ Գաղտնագրի անունը կամ հաջող մուտքը միայն մասնակի պատասխան է։
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
Մի շարք առանց պատասխանի թողնող նախագիծը անվտանգ չի դառնում մյուսի ուժեղացումից։ Վերահսկիչները լրացնում են միմյանց, ոչ թե փոխարինելի են։
Զուգընկերոջ նույնականացումը մուտք չէ
Հաճախորդը ստուգում է, որ սերվերը նա է, ինչ նախատեսված էր, օգտագործելով կարգավորված վկայագրեր, հանրային բանալիներ կամ այլ աջակցվող մեխանիզմ։ Վստահելի վկայագրային մարմինը չի դարձնում իր երբևէ թողարկած յուրաքանչյուր վկայագիր ճիշտ սերվեր, ուստի ինքնության ստուգումը դեռևս կարևոր է։ Չստուգված վերջնակետում վավեր գաղտնաբառ մուտքագրելը այդ վերջնակետը վստահելի չի դարձնում։ Գաղտնաբառը միայն ապացուցում է, որ դուք պատրաստ էիք նույնականանալ նրան, ով պատասխանեց։
WireGuard-ը ցույց է տալիս նույն գաղափարը այլ միջոցներով։ Կարգավորված զուգընկերոջ բանալին կատարում է ինքնության ստուգում առանց դիտարկիչի ոճի վկայագրի պատուհանի։ Շատ օգտատերերի հայտնի ընդհանուր գաղտնիքը նույնականացնում է ավելի շուտ խումբը, քան մեկ անձ, այդ պատճառով եզակի սարքի հավատարմագիրը հաճախ ավելի ուժեղ ինքնություն է կրում։
Նույնականացված գաղտնագրումը գաղտնագրային տերմին է
Նույնականացված գաղտնագրումը նշանակում է, որ գաղտնագիրը պաշտպանում է գաղտնիությունը և հայտնաբերում չլիազորված փոփոխությունները։ Դա չի նշանակում, որ մարդ է մուտք գործել, և չի որոշում, թե որ ֆայլերը կարող է բացել հաշիվը։ Գաղտնագրային հավաքածուի անունը նկարագրում է կառուցվածք, ոչ թե երկու կողմերի հարաբերություն։ Փաթեթների ամբողջականությունը, զուգընկերոջ ինքնությունը և հաշվի թույլտվությունները կապված պահանջներ են՝ առանձին ապացույցներով։
RFC 5280 վստահության պրոֆիլը վկայագրային ուղիների և ինքնության ստուգումների հղումն է, երբ տեղաբաշխումը օգտագործում է X.509։ Այն կարդալն ավելի օգտակար է, քան նույնականացված բառը անվտանգի հոմանիշ համարելը։
Կարդացեք խափանումը նախքան վերահսկիչը թուլացնելը
Ժամկետանց վկայագիրը, սխալ համակարգային ժամացույցը և անսպասելի սերվերի ինքնությունը յուրաքանչյուրն ունի իր ուղղումը։ Մերժված հաշիվն ունի մեկ այլը։ Եթե սերվերը օրինականորեն փոխվել է, ստացեք թարմացված վստահության նյութը ստուգված օպերատորից։ Ինքնության ստուգումը հեռացնելը, որպեսզի թունելը միանա, տեսանելի խափանումը փոխարինում է անտեսանելիով։
Պաշտպանեք այն հավատարմագրերը, որոնցից կախված է թունելը։ Պրոֆիլը կարող է պարունակել մասնավոր բանալի, իսկ պահված գաղտնաբառը կարող է հեռավոր մուտք տալ։ Երբ մեկը արտահոսի, օգտագործեք ծառայության հաշվի կամ բանալիների կառավարման գործընթացը, որովհետև հաճախորդի գրացուցակում այլ երկիր ընտրելը չի չեղարկում հին ինքնությունը։