Enkripsi menyembunyikan data; autentikasi menamai rekan
Enkripsi melindungi konten, autentikasi rekan menamai server, dan otorisasi menentukan apa yang boleh dibuka suatu identitas. Tanyakan ketiganya pada rancangan VPN.
Enkripsi tanpa pemeriksaan rekan dapat mengirim percakapan rahasia ke pihak yang salah. Autentikasi tanpa otorisasi membuktikan siapa yang bergabung, tetapi bukan apa yang boleh ia buka. Itu tiga kendali terpisah, dan tinjauan VPN yang hanya menanyakan soal sandi menjawab salah satunya. Urutkan pertanyaannya sebelum membuka halaman pengaturan mana pun.
Empat pertanyaan sebelum menyebutnya aman
Empat pertanyaan membingkai tinjauan: apa yang bisa dibaca pengamat, server mana yang menjawab, siapa yang bergabung, dan apa yang boleh dipakai identitas itu. Enkripsi menjawab yang pertama, autentikasi rekan yang kedua, autentikasi pengguna atau perangkat yang ketiga, dan otorisasi yang terakhir. Nama sandi atau login yang berhasil hanyalah jawaban sebagian.
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
Rancangan yang membiarkan satu baris tak tertangani tidak menjadi aman dengan memperkuat baris lain. Kendali-kendali itu saling melengkapi, bukan saling menggantikan.
Autentikasi rekan bukan login
Klien memverifikasi bahwa server adalah yang dimaksud, menggunakan sertifikat yang dikonfigurasi, kunci publik, atau mekanisme lain yang didukung. Otoritas sertifikat tepercaya tidak membuat setiap sertifikat yang pernah diterbitkannya menjadi server yang benar, jadi pemeriksaan identitas tetap penting. Mengetik kata sandi yang valid di titik akhir yang belum diverifikasi tidak membuat titik akhir itu tepercaya. Kata sandi hanya membuktikan bahwa Anda bersedia mengautentikasi diri kepada siapa pun yang menjawab.
WireGuard menunjukkan gagasan yang sama dengan perabot berbeda: kunci rekan yang dikonfigurasi melakukan pemeriksaan identitas tanpa jendela sertifikat gaya peramban. Rahasia bersama yang diketahui banyak pengguna lebih menandai kelompok daripada satu orang, karena itu kredensial perangkat yang unik sering membawa identitas lebih kuat.
Enkripsi terautentikasi adalah istilah kriptografi
Enkripsi terautentikasi berarti sandi melindungi kerahasiaan dan mendeteksi perubahan tak sah. Itu tidak berarti seseorang telah login, dan tidak menentukan file mana yang boleh dibuka suatu akun. Nama suite sandi menggambarkan sebuah konstruksi, bukan hubungan antara dua pihak. Integritas paket, identitas rekan, dan izin akun adalah persyaratan terkait dengan bukti terpisah.
Profil kepercayaan RFC 5280 adalah rujukan untuk jalur sertifikat dan pemeriksaan identitas ketika penerapan memakai X.509. Membacanya lebih berguna daripada memperlakukan kata terautentikasi sebagai sinonim dari aman.
Baca kegagalan sebelum melemahkan kendali
Sertifikat kedaluwarsa, jam sistem yang salah, dan identitas server yang tak terduga masing-masing punya koreksinya. Akun yang ditolak punya koreksi lain. Jika server berubah secara sah, dapatkan materi kepercayaan terbaru dari operator yang terverifikasi. Menghapus pemeriksaan identitas agar terowongan tersambung menukar kegagalan yang terlihat dengan yang tak terlihat.
Lindungi kredensial yang menjadi sandaran terowongan. Profil dapat menyimpan kunci privat, dan kata sandi tersimpan dapat memberi akses jarak jauh. Saat salah satunya bocor, gunakan proses pengelolaan akun atau kunci milik layanan, karena memilih negara lain di direktori klien tidak mencabut identitas lama.