Ձեր VPN գաղտնաբառը մասնավոր է այնքանով, որքանով նրա ստուգողը
Թունելի կոդավորումը ծածկում է միայն փոխանցման հատվածը։ Գաղտնաբառը ստուգող բաղադրիչը դեռ ստանում է այն, իսկ պահված հեշը լիովին պաշտպանում է ավելի ուշ փուլը։
Անցեք չորս հարցեր ցանկացած VPN մուտքի շուրջ՝ ի՞նչն է պաշտպանում գաղտնաբառը փոխանցման ընթացքում, ո՞ր բաղադրիչն է այն ստանում, ի՞նչ է այդ բաղադրիչն անում դրա հետ, և ի՞նչ է պահվում դրանից հետո։ Յուրաքանչյուր պատասխան առանձին վերահսկողություն է, և մի հարցի ուժեղ պատասխանը ոչինչ չի ասում մյուսների մասին։ Սխալը թունելի կոդավորումը այնպես դիտարկելն է, կարծես այն ծածկում է բոլոր չորսը։ Այն ծածկում է առաջինը, և միայն առաջինը։
Հարցրեք, թե ով է ավարտում սեսիան, ոչ թե՝ արդյոք սեսիան կոդավորված է։
Կոդավորված ո՞ւմ համար, ճիշտն ասած։
TLS-ը պաշտպանում է գաղտնաբառը հաճախորդի և կապը ավարտողի միջև։ Եթե այդ վերջնակետը VPN դարպասն է, դարպասի նույնականացման կոդը տեսնում է գաղտնաբառը բաց տեքստով, վավերացնում այն և փոխանցում առաջ կամ այն, կամ դրանից ստացված արժեք։ Սա նախատեսված ձևավորում է, ոչ արտահոսք։ Ուղու վրա գտնվող ցանցային դիտորդը ոչ մի օգտակար բան չի սովորում, իսկ ստուգումը կատարող բաղադրիչը սովորում է այն ամենը, ինչ իրեն պետք է։
OpenVPN համայնքը դա հստակ փաստագրում է՝ auth-user-pass-verify-ը ներկայացված հավատարմագրերը հանձնում է ստուգման սկրիպտին կամ պլագինին։ Սա բաղադրիչների միջև դիտավորությամբ արված հանձնում է, և այն որպես անվանված կողմ պատկանում է վստահության մոդելին։
Ստուգողը տեսնում է գաղտնաբառը
Երբ բաղադրիչը գաղտնաբառ է ստանում այն ստուգելու համար, նրա մուտքի վերահսկողությունը, մատյանագրումը և կոդի որակը որոշում են՝ գաղտնիքը մնում է փակված, թե ոչ։ Սկրիպտը, որը հավատարմագրերը գրում է մատյանում, կամ պլագինը, որը պահում է դրանք քեշում, ստեղծում է շատ ավելի մեծ բացահայտում, քան արել է արձանագրությունը։ Մուտքը կախված է ճարտարապետությունից և դերերից, ոչ թե թունելից, դրա համար էլ ստուգողին վերահսկող ծառայության սեփականատերը պատկանում է գնահատմանը։
Տարբեր մեթոդներ բացահայտում են տարբեր նյութեր։ Սերտիֆիկատով նույնականացումը ապացուցում է մասնավոր բանալին՝ առանց այն ուղարկելու, իսկ ֆեդերացիոն հոսքը կարող է գաղտնաբառը թողնել ինքնության մատակարարի մոտ՝ VPN-ին տալով սահմանափակ պնդում։ Այդ ձևավորումները նեղացնում են շրջանակը, սակայն նրանցից ոչ մեկը չի վերացնում բոլոր վստահելի կողմերին։
Պահված հեշերը պաշտպանում են այլ փուլ
NIST-ի ուղեցույցը տարանջատում է պաշտպանված փոխանցումը ստուգողի դիմացկուն պահեստավորումից։ Աղը և ծախսերով հեշի սխեման լուծում են պահված ստուգողի սպառնալիքը, այսինքն՝ այն, ինչ տեղի է ունենում հետո, եթե տվյալների բազան արտահոսի։ Նրանք ոչինչ չեն անում գործարկման ժամանակի բաղադրիչի համար, որը պետք է ստանա մուտքագրումը՝ այն համեմատելու համար։ Ուղեցույցը կարդալ այնպես, կարծես այն խոստանում է գործարկման ժամանակի գաղտնիություն, կատեգորիայի սխալ է։
Այսպիսով՝ լավ հեշավորված գաղտնաբառերի պահոցը և բաց ստուգման սկրիպտը կարող են առանց հակասության գոյակցել մեկ ապրանքի մեջ։
Ընտրել մեթոդ, որը նեղացնում է շրջանակը
Եթե պահանջն այն է, որ դարպասը երբեք չստանա կրկնակի օգտագործելի գաղտնաբառ, ընտրեք մեթոդ, որն իսկապես դա երաշխավորում է։ տվյալների գաղտնագրի փոփոխությունը այդ հատկությունը չի ստեղծում։ VPN սերվերի սերտիֆիկատի ստուգումը ձեզ ասում է, թե որ գործընկերոջն եք հասել։ այն ոչինչ չի ասում այն մասին, թե ինչպես է այդ գործընկերը հետո վարվում հավատարմագրերի հետ։ Պահեք սերվերի ստուգումը, օգտվեք յուրաքանչյուր ծառայության համար առանձին հավատարմագրերից և հետևեք կազմակերպության աջակցած ինքնության հոսքին։
Գրանցեք գաղտնաբառը ստացող կողմը, այն վավերացնող կողմը և այն ձևը, որով այն պահվում է։ Այդ երեք պատասխանները պատկանում են կապի պրոֆիլի կողքին, քանի որ դրանք ապրում են ավելի երկար, քան ցանկացած կոնկրետ թունել։
Օգտակար հարցը ոչ թե այն է, թե արդյոք գաղտնաբառը կոդավորված է, այլ՝ ումից է այն թաքցված, որ բաղադրիչն է այն ստանում և ինչ ձև է մնում դրանից հետո։