VPN暗号化の主張：文書が示すべきこと

アルゴリズム名の横にある大きな数字を見て、それが実際に何を測っているのかを問うてください。どの接続が保護されているのか、どのプロトコルが保護を提供しているのか、どの設定をクライアントが支えているのかは分かりません。主張をそれらのどれにも結び付けられないページは、文書ではなく広告です。以下の確認は、渡されたどんな要約にも使える読み方の順序であり、特定の接続に結び付けられない最初の主張が、立ち止まるべき場所です。

主張がどの接続を対象にしているかを特定する

ひとつの製品ページが、トンネルの暗号化、アカウントポータルへのHTTPS、保存データの暗号化を同じ段落で論じることがあります。これらは別の経路と別の保存システムであり、一方の性質は他方について何も語りません。競合と比べる前に、文がこの三つのどれについて述べているかを決めてください。同じ言葉である暗号化が三つの文脈すべてに現れ、そのたびに違う意味を持ちます。

トンネルそのものについては、文書化されたプロトコルと、対応するセキュリティ設定の文書化された組み合わせを探してください。この三つの表示は互換ではありません：既定の組み合わせは利用者が選ばなくても付いてきて、任意のモードはプロファイルが選んだときにだけ適用され、交渉された結果は接続時に両者が合意した内容です。これらを曖昧にするベンダーは、見た目より少ないことしか伝えていません。

プロトコルとそれが許す組み合わせを確認する

比較用の図ではなく、クライアントのプロファイルから始めてください。プロファイルがプロトコルを示し、プロトコルが、よくある二つの場合が示すとおり、どの組み合わせをそもそも可能にするかを決めます。

IKEv2の提案リストはゲートウェイが選ぶメニューなので、同じクライアント設定を持つ二つのゲートウェイでも得られる組み合わせは異なりえます。WireGuardにはそのようなメニューがなく、そのため主張は検証しやすく、説明は狭くなります。どちらの仕組みもそれ自体が強いのではなく、要点は文書がどちらを指すのかを書かねばならないことです。

暗号方式の名前だけでは認証が抜け落ち、鍵の確立、メタデータの露出、保持期間も抜け落ちます。現代の構成は暗号化と完全性を一つの組み合わせにまとめ、古い構成はそれらを分けるので、アルゴリズム名をひとつ挙げるだけでは、実際にどの性質を得るのかが隠れます。ページに書かれていない場合は、交渉の方針を書面で求めてください。

相手方の認証と更新状況を確認する

マーケティングの文章が飛ばしていても、相手方の認証は主張の一部です。検証されていない受信者への強い暗号化は誰も意図した結果ではなく、誰が応答したかを答えられないトンネルは見た目より少なくしか守っていません。クライアントがサーバーをどう検証するかに注目してください：証明書の連鎖、固定された鍵、事前共有の秘密です。これらは異なる失敗の仕方を持つ異なる信頼モデルです。

次に、修正が当たっていないクライアントの文書化された暗号は実行していないかもしれない版を説明しているため、実装とその更新状況を確認してください。プロトコルの作者が公表した制限も同じ理由で読む価値があります。一年間更新されていないクライアントは、目の前のページとは別の主張をしています。

トンネルがどこで終わるかを確認する

クライアントからサーバーへのトンネルはVPNサーバーで終わります。背後のサービスへのHTTPSのようなアプリケーションの暗号化は、経路上のさらに先まで通信を守ることができ、サーバーの先ではそれが残る唯一の保護である場合もあります。運営者の端点についての説明を読み、主張がこれらの層のどれを指すのかを決めてください。

記録の方針とアカウントの追跡は、暗号化の完全に外側にあります。運営者は暗号化された内容を運びながら時刻、アドレス、量を観察できるので、内容の機密性についての主張は何が記録されるかに何も答えていません。保持は独自の証拠を持つ別の問いとして扱ってください。

文書が述べていないことを書き留める

性質が欠けているときは、ソフトウェアの名前や評判から推測するのではなく、欠けていると記録してください。監査は実際に調べた性質と構成要素だけを対象にし、文書の空白はそれ自体が所見です。どのページがそれを生んだかをまだ覚えているうちに、空白を書き留めてください。

自分が管理する機械では、クライアントの状態画面やゲートウェイのセキュリティアソシエーション一覧を使って、稼働中のセッションから組み合わせを読み戻し、その値をクライアントの版の隣に記録してください。その記録は、更新が交渉された結果を変えたときに、ベンダーの主張を後から比較できるものにします。クライアントと文書が食い違う場合は、交渉された結果を信じ、黙って整合させるのではなく不一致を報告してください。