დაშიფვრა მალავს მონაცემებს; ავთენტიფიკაცია ასახელებს მოპირდაპირე მხარეს
დაშიფვრა იცავს შიგთავსს, მოპირდაპირე მხარის ავთენტიფიკაცია ასახელებს სერვერს, ხოლო ავტორიზაცია წყვეტს, რისი გახსნა შეუძლია იდენტობას. VPN-ის დიზაინში სამივე იკითხეთ.
დაშიფვრა მოპირდაპირე მხარის შემოწმების გარეშე შეიძლება კონფიდენციალური საუბარი არასწორ მხარეს მიაწოდოს. ავტორიზაციის გარეშე ავთენტიფიკაცია ამტკიცებს, ვინ შემოვიდა, მაგრამ არა რისი გახსნა შეუძლია. ეს სამი ცალკე კონტროლია და VPN-ის მიმოხილვა, რომელიც მხოლოდ შიფრზე კითხულობს, ერთ მათგანს პასუხობს. კითხვები დაალაგეთ ნებისმიერი პარამეტრების გვერდის გახსნამდე.
ოთხი კითხვა, სანამ უსაფრთხოს უწოდებთ
მიმოხილვას ოთხი კითხვა აყალიბებს: რისი წაკითხვა შეუძლიათ დამკვირვებლებს, რომელი სერვერი პასუხობს, ვინ შემოდის და რისი გამოყენება შეუძლია ამ იდენტობას. პირველს დაშიფვრა პასუხობს, მეორეს მოპირდაპირე მხარის ავთენტიფიკაცია, მესამეს მომხმარებლის ან მოწყობილობის ავთენტიფიკაცია, ხოლო ბოლოს ავტორიზაცია. შიფრის სახელი ან წარმატებული შესვლა მხოლოდ ნაწილობრივი პასუხია.
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
დიზაინი, რომელიც ერთ სტრიქონს უპასუხოდ ტოვებს, მეორის გაძლიერებით უსაფრთხო არ ხდება. კონტროლები ერთმანეთს ავსებს და არ იცვლება.
მოპირდაპირე მხარის ავთენტიფიკაცია შესვლა არ არის
კლიენტი ამოწმებს, რომ სერვერი სწორედ ის არის, რაც განიზრახა, კონფიგურირებული სერტიფიკატებით, საჯარო გასაღებებით ან სხვა მხარდაჭერილი მექანიზმით. სანდო სერტიფიკატის ორგანო ყოველ მის მიერ ოდესმე გაცემულ სერტიფიკატს სწორ სერვერად არ აქცევს, ამიტომ იდენტობის შემოწმება კვლავ მნიშვნელოვანია. დაუდასტურებელ ბოლო წერტილში ვალიდური პაროლის აკრეფა მას სანდოს არ ხდის. პაროლი მხოლოდ იმას ამტკიცებს, რომ მზად იყავით ავთენტიფიკაცია გაგევლოთ მასთან, ვინც უპასუხა.
WireGuard იმავე იდეას სხვა საშუალებებით აჩვენებს: კონფიგურირებული მოპირდაპირე მხარის გასაღები იდენტობის შემოწმებას ასრულებს ბრაუზერის სტილის სერტიფიკატის ფანჯრის გარეშე. ბევრი მომხმარებლისთვის ცნობილი საერთო საიდუმლო უფრო ჯგუფს განსაზღვრავს, ვიდრე ერთ ადამიანს, ამიტომ მოწყობილობის უნიკალური სერტიფიკატი ხშირად უფრო ძლიერ იდენტობას ატარებს.
ავთენტიფიცირებული დაშიფვრა კრიპტოგრაფიული ტერმინია
ავთენტიფიცირებული დაშიფვრა ნიშნავს, რომ შიფრი იცავს კონფიდენციალურობას და აღმოაჩენს არასანქცირებულ ცვლილებებს. ეს არ ნიშნავს, რომ ადამიანი შემოვიდა და არ წყვეტს, რომელი ფაილების გახსნა შეუძლია ანგარიშს. შიფრის კრებულის სახელი აღწერს კონსტრუქციას და არა ორ მხარეს შორის ურთიერთობას. პაკეტის მთლიანობა, მოპირდაპირე მხარის იდენტობა და ანგარიშის ნებართვები დაკავშირებული მოთხოვნებია ცალკე მტკიცებულებებით.
ნდობის პროფილი RFC 5280 არის სერტიფიკატის ბილიკებისა და იდენტობის შემოწმების ცნობარი, როცა განლაგება X.509-ს იყენებს. მისი წაკითხვა უფრო სასარგებლოა, ვიდრე სიტყვა ავთენტიფიცირებულის უსაფრთხოს სინონიმად მიჩნევა.
წაიკითხეთ ხარვეზი, სანამ კონტროლს შეასუსტებთ
ვადაგასულ სერტიფიკატს, არასწორ სისტემურ საათს და მოულოდნელ სერვერის იდენტობას თითოეულს თავისი შესწორება აქვს. უარყოფილ ანგარიშს სხვა აქვს. თუ სერვერი ლეგიტიმურად შეიცვალა, განახლებული ნდობის მასალა დადასტურებული ოპერატორისგან აიღეთ. იდენტობის შემოწმების მოხსნა იმისთვის, რომ გვირაბი დაუკავშირდეს, ხილულ ხარვეზს უხილავით ცვლის.
დაიცავით ის რწმუნებები, რომლებზეც გვირაბია დამოკიდებული. პროფილში შეიძლება იყოს კერძო გასაღები, ხოლო შენახულმა პაროლმა შეიძლება დისტანციური წვდომა მოგვცეს. როცა ერთი გაჟონავს, გამოიყენეთ სერვისის ანგარიშის ან გასაღებების მართვის პროცესი, რადგან კლიენტის კატალოგში სხვა ქვეყნის არჩევა ძველ იდენტობას არ აუქმებს.