IPsec წინასწარ გაზიარებული გასაღები: ბაიტები თქვენ მიერ აკრეფილი სტრიქონის მიღმა

ორი ადმინისტრატორი ეკრანზე ადარებს საიდუმლოს, თანხმდებიან, რომ ის ემთხვევა, და გვირაბი მაინც ვერ გადის ავთენტიფიკაციას. სტრიქონი, რომელიც მათ შეადარეს, არ არის ის მნიშვნელობა, რომელსაც რომელიმე მხარე გასაღების წარმოებაში შეაქვს. თქვენ მიერ დანახულ სიმბოლოებსა და იმ ბაიტებს შორის, რომლებსაც პროტოკოლი ჰეშავს, არის ველის ტიპი, ტექსტის კოდირება, რედაქტორი და ბუფერი, და ამ ოთხიდან ნებისმიერს შეუძლია შეცვალოს შეყვანა გარეგნობის შეცვლის გარეშე. შეადარეთ ბაიტები და შეუთანხმებლობა ჩვეულებრივ წამებში ჩნდება.

რას აკეთებს კარიბჭე სტრიქონთან

წინასწარ გაზიარებული გასაღები ქსელში არ იგზავნება და არ შედარებდება. თითოეული მხარე თავის ლოკალურ ასლს აწვდის IKE გაცვლის გასაღების წარმოებას, და მიღებული ავთენტიფიკაციის დატვირთვები ან მოწმდება, ან არა. ეს დიზაინი ნიშნავს, რომ ორი ასლი უნდა იყოს ბაიტობრივად იდენტური და არა ვიზუალურად მსგავსი, და ასევე ნიშნავს, რომ შეცდომა მოხსენდება ავთენტიფიკაციის ეტაპზე და არა არასწორი პაროლის შეტყობინებად.

ამიტომ სასარგებლო კითხვა არასოდეს არის «ერთნაირად გამოიყურება თუ არა ესენი», არამედ «ბაიტების რომელ ზუსტ მიმდევრობას ჰეშავს თითოეული იმპლემენტაცია».

საიდან მოდის დამატებითი ბაიტები

ბოლოში ახალი ხაზი კლასიკური დამნაშავეა და თვალსაჩინოდ იმალება, რადგან რედაქტორების უმეტესობა ფაილის შენახვისას უხილავად ამატებს ერთს. ჩატის ფანჯრიდან ჩასმული დასაწყისის ან დასასრულის სივრცე იმავეს აკეთებს, ისევე როგორც ტექსტური პროცესორის მიერ სწორი ბრჭყალის ტიპოგრაფიულით ჩანაცვლება. არცერთი მათგანი არ ცვლის იმ ვიზუალურ შედარებას, რომელსაც ადამიანი აკეთებს.

შეადარეთ ხელსაწყოთი, რომელიც ბაიტებს აჩვენებს და არა გლიფებს. printf '%s' "$PSK" | xxd | tail -2 მნიშვნელობის ბოლოს თექვსმეტობითში ბეჭდავს, სადაც დაკარგული 0a ან 20 აშკარაა. გააკეთეთ ეს ორივე მხარეს და შეადარეთ ორი ამონაბეჭდი გვერდიგვერდ. გააკეთეთ ეს გენერირებულ სატესტო მასალაზე და არა საწარმოო საიდუმლოზე, რომელსაც შემდეგ shell-ის ისტორიაში დატოვებთ.

კოდირებული არ არის დაშიფრული

კონფიგურაციის ექსპორტი ხშირად საიდუმლოს საბაზისო კოდირებით ატარებს, ხან ყოველ სამოც ან სამოცდათექვსმეტ სიმბოლოზე ხაზის წყვეტით, ხან შევსებით. თუ ერთი მხარე დეკოდირებულ ბაიტებს ელოდება და თქვენ კოდირებულ ტექსტს ამაგრებთ, თქვენ არ გამოგიგზავნიათ სხვა პაროლი, თქვენ გამოგიგზავნიათ გაცილებით გრძელი პაროლი დასაბეჭდი სიმბოლოებით. Base64 საერთოდ არ უზრუნველყოფს კონფიდენციალურობას, ამიტომ კოდირებული საიდუმლო არასოდეს უნდა ჩასვათ ფორუმზე მეორე აზრისთვის.

Apple-ის IPSec ლექსიკონი ტიპის მნიშვნელობის სასარგებლო მაგალითია: ის SharedSecret-ს ადასტურებს როგორც მონაცემს საერთო საიდუმლოს ავთენტიფიკაციის მეთოდისთვის L2TP და Cisco IPsec დატვირთვებში. ეს კონკრეტული თვისებაა კონკრეტულ დატვირთვაში და არა ზოგადი ტექსტური ველი, რომელიც შეგიძლიათ ხელახლა გამოიყენოთ სხვა პროტოკოლისთვის, რომელიც შემთხვევით საიდუმლოს ითხოვს.

გამოცხადებული ზღვარი ერთ კომბინაციას ეკუთვნის

ძველი ცნობები ერთ Apple კლიენტზე ოცდათორმეტი სიმბოლოს ზედა ზღვარზე რეალური ცნობებია ერთი კლიენტის ვერსიის, პროტოკოლისა და პროფილის ფორმის შესახებ. ისინი არ არის უნივერსალური ზღვარი ყველა Apple პლატფორმისთვის, ყველა პროვაიდერისთვის და ყველა პროტოკოლისთვის. შეამოწმეთ ვერსია, დატვირთვის ტიპი და კარიბჭის მოთხოვნა ერთად, შემდეგ გამოსცადეთ დამტკიცებულ კონფიგურაციაზე და არა ძაფიდან დაასკვნათ. ჩაწერეთ გამოცდილი კომბინაცია ცვლილებების ჟურნალში, თორემ შემდეგი ადამიანი იმავე ძაფს უფრო დიდი დარწმუნებით მოიხსენიებს, ვიდრე ის იმსახურებს.

თუ ზღვარი ნამდვილად მოქმედებს, პასუხია მისთვის შესაფერისი მხარდაჭერილი რწმუნებულებების დიზაინი და არა ძლიერი საიდუმლოს შემოკლებული ვერსია. საწარმოო გასაღების შეკვეცა ვარაუდობილი ზღვრის დასაკმაყოფილებლად სამუდამოდ ამცირებს მის სიძლიერეს და ქმნის სისტემას, რომლის დოკუმენტაცია აღარ შეესაბამება მის უსაფრთხოებას.

შეასწორეთ წარმოდგენა და არა სიძლიერე

როდესაც ავთენტიფიკაცია ვერ გადის წარმოდგენის დადასტურების შემდეგ, წაიკითხეთ მოქმედი პოლიტიკა ავთენტიფიკაციის ეტაპზე: რომელი მეთოდი მიდის მოლაპარაკებაზე, რომელი პირის იდენტობაა მოსალოდნელი და შეესაბამება თუ არა კარიბჭე იმ კავშირს, რომელსაც თქვენ ფიქრობთ. თანდათან უფრო სუსტი ვარაუდები დიაგნოზი არ არის, ეს არის ნელი დაქვეითება მიმაგრებული მხარდაჭერის ბილეთით.

თუ საჭირო რწმუნებულება ვერ აკმაყოფილებს ორგანიზაციის სტანდარტს, შეცვალეთ დიზაინი ისეთით, რომელიც შეძლებს. საკმარისი ენტროპიის მქონე საერთო საიდუმლო, ერთხელ გენერირებული, მართულ ველში შენახული და არასოდეს გამოქვეყნებული, სრულიად კარგი პასუხია; მისი უფრო მოკლე ვერსია არა.