Ինչու միայն գաղտնագրումը չի կանգնեցնում վերաուղարկված փաթեթը

Պաշտպանված փաթեթները գաղտնագրորեն չեն ժամկետանցվում, ուստի հինգ րոպե առաջ վավեր փաթեթը հիմա էլ վավեր է, որովհետև գաղտնագրումը և ամբողջականության պաշտպանությունը ոչինչ չեն ասում այն մասին, թե երբ են ստեղծվել բայթերը։ Հարձակվողը, որը կարող է որսալ և նորից ուղարկել երթևեկությունը, պարտավոր չէ կոտրել ծածկագիրը։ Այդ պատճառով յուրաքանչյուր լուրջ թունելային արձանագրություն իր բանալիների կողքին կրում է հերթականության վիճակ։

Մեխանիզմը փոքր է, և նրա ձախողման եղանակները հեշտ է շփոթել փաթեթի կորստի հետ։

Վավեր ծածկագրված տեքստը թարմ ծածկագրված տեքստ չէ

Նույնականացումը պատասխանում է մեկ հարցի՝ արդյոք այս բայթերը եկել են բանալու տիրոջից առանց փոփոխության։ Այն չի պատասխանում, թե ընդունողն առաջին անգամ է տեսնում դրանք, թե ոչ։ Վերաուղարկված փաթեթը կատարելապես անցնում է առաջին փորձությունը, և հենց դրա համար միայն ամբողջականության ստուգումը չի կարող կանգնեցնել վերաուղարկումը, և դրա համար արձանագրությանը պետք է երկրորդ կանոն՝ ընդունման մասին։ Ընդունողը, որը միայն նույնականացնում է, պաշտպանություն չունի ձայնագրություն ունեցող հարձակվողից։

Այդ կանոնը էժան է իրականացնել և էժան է ձևակերպել՝ ընդունել տրված պաշտպանված փաթեթը մեկ անգամ, տրված բանալու ներքո։ Մնացած ամեն ինչ այս ոլորտում բխում է նրանից, թե ինչպես է իրականացումը հետևում այդ մեկ անգամին։

Վերաուղարկման մերժումը որպես վերծանման ձախողում կարդալը ձեզ ուղարկում է բոլորովին սխալ ենթահամակարգ։

Հերթականության համար և պատուհան

IPsec ESP-ն կրում է հերթականության համար, և ընդունողը պահում է վերջերս ընդունված արժեքների սահող պատուհան, մինչդեռ ESP բնութագրությունը նկարագրում է պատուհանի լռելյայն չափը և այն ընդլայնելու տարբերակը։ WireGuard-ը գնում է այլ ճանապարհով՝ յուրաքանչյուր բանալու համար հաշվիչ և դրա դեմ բացահայտ ստուգում։ Ոչ մի նախագիծ չի ենթադրում, որ փաթեթները գալիս են հերթականությամբ, որովհետև իրական ցանցերը վերադասավորում են դրանք։ Երկուսն էլ հանդուրժում են վերադասավորումը, և ոչ մեկը չի հանդուրժում կրկնությունը։

Պատուհանն է, որ հնարավոր է դարձնում այդ հանդուրժողականությունը։ Տեսած ամենաբարձր արժեքից մի փոքր հետ մնացած փաթեթը դեռ կարող է ընդունվել, եթե նախկինում չի ընդունվել, իսկ շատ հետ մնացածը կամ այն, որի տեղը արդեն նշված է, դեն է նետվում։ Մեծացրու պատուհանը, և կհանդուրժես ավելի շատ վերադասավորում՝ յուրաքանչյուր միավորման համար ավելի շատ վիճակի գնով։

Ախտորոշիչ հաշվիչները ցույց են տալիս, թե որ դեպքում ես։ Վերաուղարկման մերժումները մեծացնում են որոշակի հաշվիչ, այլ ոչ ընդհանուր սխալ, և այդ հաշվիչը կարդալը առաջին օգտակար դիտարկումն է։

nstat -az | grep -i XfrmIn
ip -s xfrm state | head -n 30
wg show wg0 transfer

Վիճակը պատկանում է բանալուն, ոչ թե հոսթին

Հաշվիչի վիճակը կապված է անվտանգության միավորման կամ բանալու դարաշրջանի հետ, ուստի բանալու փոփոխությունը ստեղծում է թարմ համատեքստ և իր սեփական հերթականության տարածքը։ Հաշվիչը մաքրելը առանց բանալին փոխարինելու, կամ միավորումը ձեռքով վերակայումից հետո նորից օգտագործելը խախտում է այն ենթադրությունը, որի վրա հենվում է ընդունողի պատուհանը։ Այդ պատճառով գոյություն ունի արձանագրությամբ ղեկավարվող բանալու փոփոխություն, այլ ոչ թե օպերատորին տեսանելի վերակայման կոճակ։

Երբ թունելը ձեռքով միջամտությունից հետո վատ է վարվում, հարցրու՝ արդյոք միջամտությունը դիպել է հերթականության վիճակին։ Նույնական թվացող կոնֆիգուրացիան կարող է այլ կերպ վարվել, որովհետև ժառանգած վիճակը այն վիճակը չէ, որն այն ակնկալում է։

Ախտորոշիր պատճառը նախքան ինչ-որ բան անջատելը

Կորուստը, վերադասավորումը, կրկնօրինակված երթևեկությունը և իրականացման թերությունը բոլորը ի հայտ են գալիս որպես վերհաղորդումներ, և դրանցից միայն մեկն է վերաուղարկման խնդիր։ Ստուգումն անջատելը աղմուկը լռեցնելու համար հեռացնում է այն հատկությունը, որի վրա հենվում էիր, և դժվարացնում է բուն պատճառը գտնելը, որովհետև այժմ վերհաղորդումները բացատրություն ընդհանրապես չունեն։

Հավաքիր սահմանափակ ապացույցներ՝ միավորման նույնացուցիչներ, հերթականության համարներ և հաշվիչներ, առանց բեռնվածքների։ Դա բավական է կրկնօրինակը վերադասավորված ժամանումից տարբերելու համար, և այն չի դարձնում քո ախտորոշիչ ֆայլը օգտվողի երթևեկության պատճեն։

Ինչ չի խոստանում ստուգումը

Վերաուղարկումից պաշտպանությունը մեկ արձանագրության ներսում փաթեթի մշակման հատկություն է։ Դա չի նշանակում, որ օպերատորը գրանցամատյաններ չի վարում, որ կայքը չի կարող ճանաչել հաշիվ, կամ որ նստաշրջանը անանուն է։ Դրանք առանձին հարցեր են առանձին համակարգերի մասին, և ուժեղ հակավերաուղարկային նախագիծը ոչ մեկին չի պատասխանում։

Աջակցվող կարգավորումներով պահպանվող ծրագրաշարը այն գործնական հսկողությունն է, որն օգտվողը ունի։ Արձանագրությունը զբաղվում է փաթեթով, մնացած ամեն ինչ մնում է գործառնական որոշում։