La cifratura nasconde i dati; l’autenticazione nomina la controparte
La cifratura protegge il contenuto, l’autenticazione della controparte nomina il server e l’autorizzazione decide cosa un’identità può aprire. Chiedete tutte e tre le cose a un progetto VPN.
Una cifratura senza verifica della controparte può consegnare una conversazione riservata alla parte sbagliata. Un’autenticazione senza autorizzazione prova chi si è unito, ma non cosa può aprire. Sono tre controlli distinti, e una recensione VPN che chiede solo della cifratura risponde a uno di essi. Ordinate le domande prima di aprire qualsiasi pagina di impostazioni.
Quattro domande prima di definirlo sicuro
Quattro domande inquadrano la revisione: cosa possono leggere gli osservatori, quale server risponde, chi si unisce e cosa può usare quell’identità. Alla prima risponde la cifratura, alla seconda l’autenticazione della controparte, alla terza l’autenticazione di utente o dispositivo e all’ultima l’autorizzazione. Un nome di cifratura o un accesso riuscito è solo una risposta parziale.
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
Un progetto che lascia una riga senza risposta non diventa sicuro rafforzandone un’altra. I controlli sono complementari, non intercambiabili.
L’autenticazione della controparte non è un accesso
Il client verifica che il server sia quello previsto, usando certificati configurati, chiavi pubbliche o un altro meccanismo supportato. Un’autorità di certificazione attendibile non rende ogni certificato che abbia mai emesso il server giusto, quindi il controllo dell’identità resta importante. Digitare una password valida in un endpoint non verificato non lo rende affidabile. La password prova solo che eravate disposti ad autenticarvi a chiunque abbia risposto.
WireGuard mostra la stessa idea con altri arredi: una chiave di controparte configurata esegue un controllo dell’identità senza una finestra di certificato in stile browser. Un segreto condiviso noto a molti utenti identifica più il gruppo che una singola persona, perciò una credenziale unica del dispositivo porta spesso un’identità più forte.
La cifratura autenticata è un termine crittografico
La cifratura autenticata significa che la cifratura protegge la riservatezza e rileva modifiche non autorizzate. Non significa che una persona abbia effettuato l’accesso, e non decide quali file un account può aprire. Il nome di una suite di cifratura descrive una costruzione, non una relazione tra due parti. L’integrità dei pacchetti, l’identità della controparte e i permessi dell’account sono requisiti correlati con prove separate.
Il profilo di fiducia RFC 5280 è il riferimento per i percorsi dei certificati e i controlli dell’identità quando la distribuzione usa X.509. Leggerlo è più utile che trattare la parola autenticato come sinonimo di sicuro.
Leggete il guasto prima di indebolire un controllo
Un certificato scaduto, un orologio di sistema errato e un’identità del server inattesa hanno ciascuno la propria correzione. Un account rifiutato ne ha un’altra. Se il server è cambiato legittimamente, procuratevi il materiale di fiducia aggiornato dall’operatore verificato. Rimuovere il controllo dell’identità perché il tunnel si connetta scambia un guasto visibile con uno invisibile.
Proteggete le credenziali da cui dipende il tunnel. Un profilo può contenere una chiave privata, e una password salvata può concedere accesso remoto. Quando una trapela, usate il processo di gestione dell’account o delle chiavi del servizio, perché scegliere un altro paese nella directory del client non revoca la vecchia identità.