Ինչ է ապացուցում VPN արձանագրության բնութագիրը և ինչ՝ ոչ

Արձանագրության փաստաթուղթը պայմանագիր է իրականացումների միջև, և ուշադիր ընթերցումը ձեզ ասում է, թե ինչ կփոխանակեն երկու համապատասխան կողմեր և ինչ հատկություններ էին նախագծողները մտադիր ապահովել։ Այն ձեզ չի ասում, թե որ բինար ֆայլն է աշխատում այն սերվերում, որին միանում եք, ինչպես է կարգավորվել այդ սերվերը կամ ինչ է հետո պատահում ձեր հաշվի գրառմանը։ Սրանք ապացույցի երեք տարբեր տեսակներ են, և բնութագիրը որպես բոլոր երեքը դիտելը այն ճանապարհն է, որով արձանագրության անունը սկսում է անել աշխատանք, որն ի վիճակի չէ անել։ Երեքը առանձին պահելը ողջ վարժությունն է։

Փաստաթուղթը փաստարկի սկիզբն է, ոչ թե դրա եզրակացությունը։

Ինչ է իրականում սահմանում փաստաթուղթը

WireGuard-ի համար արձանագրության նկարագրությունը սահմանում է Noise IK ձեռքսեղմում, պրիմիտիվների ֆիքսված հավաքածու, հաղորդագրությունների դասավորություններ և տրանսպորտային շրջանակավորում, որը հետագայում կրում է փաթեթները։ IKEv2-ի համար համադրելի փաստաթուղթը RFC 7296-ն է, որը սահմանում է փոխանակումները, բեռնվածությունները և առաջարկների բանակցությունը։ Երկու դեպքում էլ շրջանակը ճշգրիտ է՝ հաղորդագրությունները, վիճակի մեքենան և այն ենթադրությունները, որոնց ներքո գործում են անվտանգության նպատակները։

Ընտրովի ռեժիմները բարդացնում են ընթերցումը։ Մեկ ձեռքսեղմման համար վավեր հատկությունը կարող է չկիրառվել այլ նույնականացման կարգավորում կամ պահուստային կոնֆիգուրացիա ունեցող տեղակայման համար։

Որտեղ են դադարում երաշխիքները

Ֆորմալ վերլուծությունը պատասխանում է մոդելի մասին հարցին։ WireGuard-ի ստուգման աշխատանքը օգտագործում է սիմվոլիկ մոդել Tamarin ապացուցիչում, որը կարող է ցույց տալ, որ նախագիծը դիմանում է որոշակի հարձակումների իր ենթադրությունների ներքո. այն չի ցույց տալիս, որ տրամադրված օգտատիրոջ տարածության իրականացումը հիշողության անվտանգության սխալ չունի։ Հենց մոդելի և մեքենայի միջև այդ ճեղքում են ապրում իրական միջադեպերը։ Ապացույցը որպես իրականացման վկայական կարդալը կատեգորիայի սխալ է։

Առաջընթաց գաղտնիությունը ցույց է տալիս նույն սահմանը։ Հատկությունը կախված է նրանից, որ բանալիները ոչնչացվեն այնպես, ինչպես արձանագրությունը նախատեսում է, և դա իրականացման և դրա միջավայրի հատկությունն է, ոչ թե հաղորդագրության ձևաչափինը։ Ջնջում պահանջող նախագիծը չի կարող այն պարտադրել հարթակում, որը հիշողությունը տեղափոխում է սկավառակ։

Շերտավոր կախվածությունները լայնացնում են ճեղքը. TLS-ի վրա հիմնված թունելի հետևում գտնվող TLS գրադարանը, օգտատիրոջ տարածության թունելի օգտագործած միջուկի ինտերֆեյսը և պատահական թվերի գեներատորը բոլորը գտնվում են արձանագրության տեքստից դուրս։

Հետևեք բայթերին մինչև build

Փաստաթղթից անցեք արտեֆակտների՝ նույնականացնելով տարբերակները, ապա համեմատելով դրանք իրականում երթևեկությունը սպասարկողի հետ։ Արձանագրություն անվանող արտադրանքը կարող է ավելացնել մատակարարման, հեռաչափության և կառավարման բաղադրիչներ, որոնք բնութագիրը երբեք չի նկարագրում։

openvpn --version | head -3
wg --version
dpkg -l | grep -E 'openvpn|wireguard|libssl'
ss -lunp | grep -E '1194|51820'
sha256sum ./wireguard-tools_1.0.20210914_amd64.deb

Վերստեղծելի build-երը և հրապարակված ստուգիչ գումարները հնարավորություն են տալիս կապել սկզբնաղբյուրի ծառը տարածված բինար ֆայլի հետ։ Առանց այդ կապակցման հրապարակված սկզբնաղբյուրը միայն ապացուցում է, որ ստուգումը հնարավոր է, ոչ թե որ աշխատող ֆայլը համապատասխանում է դրան։

Կոնֆիգուրացիան նույն քայլի մասն է։ Գաղտնագրման հավաքածուները, թույլատրված կողմերը և երթուղավորման կարգավորումները տեղակայման ընտրություններ են, և անփույթ կարգավորված համապատասխան build-ը դեռևս թույլ թունել է ստեղծում։

Առանձին պահեք գործառնական պրակտիկաները

Հաշվի գրառումները, վճարման տվյալները և աջակցության հայտերը օպերատորի որոշումներ են, որոնք ոչ մի արձանագրային տեքստ չի սահմանափակում։ Աուդիտի զեկույցը ընդգրկում է նշված բաղադրիչները հայտարարված շրջանակում, իսկ գաղտնիության քաղաքականությունը նկարագրում է մտադրություններ և պրակտիկաներ. ոչ մեկը չի փոխարինում մյուսին, և ոչ մեկը գաղտնագրային հայտարարություն չէ։

Ճշգրիտ եզրակացությունը կուտակային է՝ բնութագիրը բացատրում է նախագիծը, build-ը և կոնֆիգուրացիան բացատրում են թունելը, իսկ օպերատորի փաստաթղթավորված պրակտիկաները բացատրում են այն ամենը, ինչ թունելը երբեք չի տեսնում։ Ասացեք, թե դրանցից որն եք ստուգել, և պնդումը մնում է ճշմարիտ։