Le promesse di crittografia VPN: cosa deve dire la documentazione

Guardate il numero grande accanto al nome di un algoritmo e chiedetevi che cosa misura davvero. Non vi dice quale connessione è protetta, quale protocollo fornisce la protezione né quali impostazioni supporta il vostro client. Una pagina che non riesce a collegare la propria affermazione a uno di questi punti è pubblicità, non documentazione. I controlli qui sotto sono un ordine di lettura per qualsiasi riepilogo vi sia stato consegnato, e la prima affermazione che non riuscite a collegare a una connessione precisa è il punto in cui fermarvi.

Stabilite quale connessione copre l’affermazione

Una sola pagina di prodotto può trattare la crittografia del tunnel, l’HTTPS verso il portale dell’account e la crittografia dei dati memorizzati nello stesso paragrafo. Sono percorsi diversi e sistemi di archiviazione diversi, quindi una proprietà di uno non dice nulla degli altri. Decidete di quale dei tre parla la frase prima di confrontarla con un concorrente. La stessa parola, crittografia, compare in tutti e tre i contesti e significa ogni volta una cosa diversa.

Per il tunnel stesso, cercate un protocollo documentato e un insieme documentato di impostazioni di sicurezza supportate. Queste tre etichette non sono intercambiabili: un insieme predefinito arriva senza che lo scegliate, una modalità opzionale si applica solo se il profilo la seleziona, e un risultato negoziato è ciò su cui le due parti si sono accordate al momento della connessione. Un fornitore che le confonde vi ha detto meno di quanto sembri.

Verificate il protocollo e l’insieme che consente

Partite dal profilo del client invece che da un grafico comparativo. Il profilo nomina il protocollo, e il protocollo decide quali insiemi sono persino possibili, come mostrano i due casi comuni.

L’elenco di proposte IKEv2 è un menu da cui il gateway sceglie, quindi l’insieme che ottenete può differire tra due gateway con impostazioni client identiche. WireGuard non ha un menu del genere, il che rende la sua affermazione più facile da verificare e più stretta da descrivere. Nessuna delle due disposizioni è più forte di per sé; il punto è che la documentazione deve dire quale intende.

Il solo nome di un cifrario lascia fuori anche l’autenticazione, la generazione delle chiavi, l’esposizione dei metadati e la conservazione. Le costruzioni moderne uniscono crittografia e integrità in un unico insieme, mentre quelle più vecchie le separano, quindi citare un solo nome di algoritmo può nascondere quale proprietà ottenete davvero. Chiedete per iscritto la politica di negoziazione quando la pagina non la indica.

Verificate l’autenticazione del peer e lo stato degli aggiornamenti

L’autenticazione del peer fa parte dell’affermazione anche quando il testo di marketing la omette. Una crittografia forte verso un destinatario non verificato non è il risultato che nessuno intendeva, e un tunnel che non può dirvi chi ha risposto protegge meno di quanto sembri. Guardate come il client convalida il server: una catena di certificati, una chiave fissata o un segreto condiviso in anticipo. Sono modelli di fiducia diversi con modalità di errore diverse.

Poi verificate l’implementazione e il suo stato di aggiornamento, perché un cifrario documentato in un client senza patch descrive una versione che forse non eseguite. I limiti pubblicati dagli autori del protocollo meritano una lettura per lo stesso motivo. Un client che non viene aggiornato da un anno fa un’affermazione diversa dalla pagina che avete davanti.

Verificate dove finisce il tunnel

Un tunnel da client a server finisce sul server VPN. La crittografia applicativa, come l’HTTPS verso il servizio dietro di esso, può proteggere il traffico più avanti lungo il percorso, e dopo il server può essere l’unica protezione rimasta. Leggete la spiegazione dell’operatore sugli endpoint e decidete a quale di questi strati si riferisce l’affermazione.

La politica di registrazione e il tracciamento dell’account restano del tutto fuori dalla crittografia. Un operatore può trasportare contenuti cifrati mentre osserva tempi, indirizzi e volume, quindi un’affermazione sulla riservatezza del payload non risponde nulla su ciò che viene registrato. Trattate la conservazione come una questione separata con le sue prove.

Annotate ciò che la documentazione non dice

Quando una proprietà manca, annotate che manca invece di dedurla dal nome o dalla reputazione del software. Un audit copre solo le proprietà e i componenti che ha davvero esaminato, e una lacuna nella documentazione è di per sé un risultato. Scrivete la lacuna mentre ricordate ancora quale pagina l’ha prodotta.

Su una macchina che controllate, rileggete l’insieme dalla sessione attiva, usando la pagina di stato del client o l’elenco delle associazioni di sicurezza sul gateway, e annotate quel valore accanto alla versione del client. Quel verbale rende un’affermazione del fornitore confrontabile più avanti, quando un aggiornamento cambia il risultato negoziato. Se il client e la documentazione non concordano, fidatevi del risultato negoziato e segnalate la discrepanza invece di ricomporla in silenzio.