Արժե՞ արդյոք երկու VPN շերտ դասավորել։ Երեք պայման ստուգելու համար

Նախքան VPN-ին երկրորդ գաղտնագրման շերտ ավելացնելը, ազնվորեն պատասխանեք մեկ հարցի՝ ի՞նչ է դեռ պահում դիտորդը այն բանից հետո, երբ երկու շերտերն արել են իրենց գործը։ Եթե պատասխանը ներքին գաղտնագրված տեքստն է՝ անփոփոխ, ապա ներդնումը գնել է ժամանակ և ոչ այլ բան։ Այն, ինչ հաջորդում է, որոշման ընթացակարգ է, ոչ թե առաջարկություն։ Նույն դիագրամը մի տեղակայման մեջ վատնված պրոցեսոր է, մյուսում՝ ճիշտ պատասխան, և միայն երեք պայման է բաժանում այդ երկուսը։

Գրի առեք, թե ինչ է պահում դիտորդը

Արձանագրեք այն օբյեկտը, որը հակառակորդը կարող է այսօր պահել, ապա հեռացումների հաջորդականությունը, որը ի վերջո կբացահայտի բաց տեքստը։ Արտաքին թունելը ստեղծում է գաղտնագրված տեքստ, երբ նրա պաշտպանությունն ավարտվում է, մնում է ներքին թունելի գաղտնագրված տեքստը՝ դեռևս կնքված։ Ծածկույթը հեռացնելը վերծանում չէ։ Այդ նախադասությունը նկարագրում է ներդնումը, և այն վավեր է միայն այնքան ժամանակ, քանի դեռ ներքին բանալին գոյատևում է։ Այն պահին, երբ երկու շերտերը որևէ բան կիսում են, ժամանակային գիծը կրճատվում է մեկ դեպքի։

Այսպիսով, օգտակար արտեֆակտը ժամանակային գիծն է, ոչ թե տուփերի դիագրամ։ Յուրաքանչյուր շերտի համար գրեք վերջնակետը, բանալու սեփականատերը, ինքնության ստուգումը և այն տարին, երբ ենթադրությունը սպասվում է ձախողվի։

Ձեր սեփական պնդումը փորձարկելու գործնական եղանակ. ենթադրեք, որ դիտորդը ձայնագրում է ամեն ինչ և երբեք չի հանձնվում։ Այդ ենթադրության ներքո դիզայնը դեռևս պաշտպանու՞մ է բեռը իր պահանջվող կյանքի ընթացքում։ Եթե պատասխանը կախված է նրանից, որ դիտորդը որոշի չպահել երթևեկությունը, դիզայնը պատասխան չունի։

Պայման առաջին. արդյո՞ք շերտերը կանգ են առնում տարբեր վայրերում։

Ներդնումը արժե, երբ երկու շերտերն ավարտվում են տարբեր վստահության տիրույթներում, օրինակ՝ մատակարարի կողմից կառավարվող IPsec դարպասը ձեր սեփական ցանցի ներսում ավարտվող հավելվածի մակարդակի թունելի դիմաց։ Այդ դեպքում արտաքին շերտը կոտրելը տալիս է գաղտնագրված տեքստ, որը կարող է բացել միայն ձեր հոսթը, և մատակարարը ոչ մի պահի բաց տեքստ չի տեսնում։ Դրեք երկու շերտերն էլ նույն դարպասի վրա, և այդ հատկությունը անհետանում է։ Ով կոտրում է տուփը, կարդում է երկու վերծանման գործողությունների միջև եղած երթևեկությունը, ինչքան էլ ծածկույթ ցույց տա դիագրամը։

Սա ստուգեք տեղակայված վիճակով, ոչ թե դիզայնով։ Linux-ում ip xfrm state թվարկում է յուրաքանչյուր անվտանգության ասոցիացիա և նրա վերջնակետերը, ինչը որոշում է, թե որտեղ է յուրաքանչյուր շերտ իսկապես կանգ առնում։

Պայման երկրորդ. արդյո՞ք բանալու նյութն իսկապես անկախ է։

Մեկ վկայագրից, մեկ նախօրոք բաժանված բանալուց կամ մեկ մատակարարի գրադարանից կառուցված երկու շերտերը մեկ շերտ են լրացուցիչ քայլերով։ Այդ դեպքում մեկ վտանգված հավատարմագրում բացում է երկուսն էլ, և մեկ ներդրման սխալ հեռացնում է երկուսը միանգամից։ Անկախությունը պետք է տեսանելի լինի կոնֆիգուրացիայում, ոչ թե հռչակվի սլայդում։

Այստեղ է, որ հիբրիդային բանալիների հաստատումը գերազանցում է թունելների դասավորումը։ IKEv2-ը կարող է մեկ բանակցության մեջ կրել մի քանի բանալիների փոխանակում, այնպես որ դասական խումբը և հետքվանտային KEM-ը կարող են երկուսն էլ սնուցել նույն սեսիայի բանալիները՝ իրար շուրջ փաթաթվելու փոխարեն։ Արդյունքը մեկ անվտանգության ասոցիացիա է, որի բանալիները կախված են երկու գաղտնիքներից, և հարձակվողը պետք է կոտրի երկուսն էլ։ Սա փաստաթղթավորված կառույց է սահմանված կազմով, ինչը երկու VPN ապրանքների տնական կույտը չէ։ strongSwan-ում swanctl --list-sas-ը տպում է բանակցված առաջարկը յուրաքանչյուր SA-ի համար, և այդպես եք հաստատում, թե ինչն է իրականում աշխատել, ոչ թե ինչ եք կարգավորել։

Պայման երրորդ. արդյո՞ք տվյալները գոյատևում են արտաքին ենթադրությունից ավելի։

Շերտը, որը պետք է դիմանա քսան տարի, պահանջում է քսանամյա փաստարկ։ Հիմա ձայնագրելը և ավելի ուշ վերծանելը էժան է, և դա է պատճառը, որ դասական արտաքին շերտը չեն կարող համարել ժամանակավոր ծածկույթ ավելի ուժեղ ինչ-որ բանի շուրջ։

Հարցրեք՝ երբ է յուրաքանչյուր բանալի դառնում վերականգնելի, ոչ թե՝ արդյո՞ք գաղտնագիրը կոտրված է այսօր։ Առաջ ընթացող գաղտնիության առանց ստատիկ բանալիների փոխանակումը հետադարձորեն ձախողվում է այն օրը, երբ ընկնում է մասնավոր բանալին։ Անցողիկ բանալիների համաձայնությունը ձախողվում է միայն այն սեսիաների համար, որոնց հարձակվողը կարող է հարձակվել դրանց կենդանի ընթացքում, կամ երբ ինքն ալգորիթմը թուլանում է։ Այդ տարբերությունը որոշում է՝ արդյո՞ք ներքին շերտը դեռ օգնում է 2040-ին։ Այն նաև որոշում է՝ արդյո՞ք արտաքին շերտն ընդհանրապես ինչ-որ բան փոխում է, քանի որ ավելի թույլ բանալու կյանքով արտաքին շերտը պարզապես դառնում է ժամանակային գծի ամենավաղ կետը։

Ինչ կառուցել փոխարենը, երբ պատասխանը ոչ է

Եթե երեք պայմաններից որևէ մեկը ձախողվի, թողեք ներդնումը և ջանքը ծախսեք այն շերտի վրա, որն իսկապես կրում է կյանքի պահանջը։ Կարգավորեք հիբրիդային բանալիների փոխանակում այն արձանագրությունում, որն արդեն գործարկում եք, պահեք ներդրումը արդիական և գրի առեք այն կազմը, որի վրա հույս դնում եք։ Դիզայնի փաստաթղթում ML-KEM հիշելը անվտանգության հատկություն չէ, և FIPS 203-ը սահմանում է բանալիների փաթաթման մեխանիզմը, ոչ թե ձեր թունելը։

Այնտեղ, որտեղ երկրորդ շերտն իսկապես վաստակում է իր տեղը, նկարագրեք այն որպես խորության պաշտպանություն, ոչ թե ապացույց։ Այնուհետև ստուգեք կազմը՝ ո՞ր վերջնակետն է պահում ո՞ր բանալին, ի՞նչ ինքնություն է ստուգում յուրաքանչյուր կողմ, և ի՞նչ կարող է կարդալ կոնսոլի հասանելիություն ունեցող օպերատորը։ Դիզայնը, որ դիմանում է այդ երեք հարցերին, արժե լրացուցիչ պրոցեսորը։ Այն, որը չի դիմանում, ընդամենը դիագրամ է։

Փոփոխության պատուհանից առաջ արձանագրեք ընթացիկ SA աղյուսակը և բանակցված առաջարկները, իսկ դրանից հետո արձանագրեք դրանք նորից և համեմատեք, որովհետև միակ կարևոր ապացույցն այն է, ինչին սարքերը իրականում համաձայնել են։