თქვენი VPN პაროლი იმდენად კონფიდენციალურია, რამდენადაც მისი გადამამოწმებელი
გვირაბის დაშიფვრა მხოლოდ გადაცემის მონაკვეთს ფარავს. პაროლის გადამოწმებელი კომპონენტი მას მაინც იღებს, ხოლო შენახული ჰეში სრულიად სხვა, გვიანდელ ეტაპს იცავს.
განიხილეთ ოთხი კითხვა ნებისმიერი VPN შესვლისას: რა იცავს პაროლს გადაცემის დროს, რომელი კომპონენტი იღებს მას, რას აკეთებს ეს კომპონენტი მასთან და რა ინახება შემდეგ. თითოეული პასუხი განსხვავებული კონტროლია და ერთზე ძლიერი პასუხი დანარჩენებზე არაფერს ამბობს. შეცდომა ისაა, გვირაბის დაშიფვრას ისე მოვეპყროთ, თითქოს ოთხივეს ფარავდეს. ის პირველს ფარავს და მხოლოდ პირველს.
იკითხეთ, ვინ ასრულებს სესიას და არა, დაშიფრულია თუ არა სესია.
დაშიფრულია ვისთვის, ზუსტად?
TLS იცავს პაროლს კლიენტსა და იმას შორის, რაც კავშირს ასრულებს. თუ ეს ბოლო წერტილი VPN-კარიბჭეა, კარიბჭის ავთენტიფიკაციის კოდი ხედავს პაროლს ღია ტექსტში, ამოწმებს მას და გადასცემს შემდგომ ან მას, ან მისგან მიღებულ მნიშვნელობას. ეს განზრახი დიზაინია და არა გაჟონვა. ქსელის დამკვირვებელი გზაზე არაფერ სასარგებლოს არ ისწავლის, ხოლო გადამოწმების შემსრულებელი კომპონენტი ისწავლის ყველაფერს, რაც სჭირდება.
OpenVPN-ის საზოგადოება ამას ცხადად დოკუმენტირებს: auth-user-pass-verify წარდგენილ სერტიფიკატებს გადასცემს გადამოწმების სკრიპტს ან დანამატს. ეს კომპონენტებს შორის განზრახ გადაცემაა და ის, როგორც დასახელებული მხარე, ნდობის მოდელს ეკუთვნის.
გადამამოწმებელი ხედავს პაროლს
მას შემდეგ, რაც კომპონენტი პაროლს გადამოწმებისთვის იღებს, მისი წვდომის კონტროლი, ჟურნალირება და კოდის ხარისხი წყვეტს, დარჩება თუ არა საიდუმლო შიგნით. სკრიპტი, რომელიც სერტიფიკატებს ჟურნალში წერს, ან დანამატი, რომელიც მათ ქეშში ინახავს, ბევრად უფრო დიდ გამოვლენას ქმნის, ვიდრე პროტოკოლმა შექმნა. წვდომა არქიტექტურასა და როლებზეა დამოკიდებული და არა გვირაბზე, ამიტომ გადამამოწმებლის მმართველი სერვისის მფლობელი შეფასებაში შედის.
სხვადასხვა მეთოდი სხვადასხვა მასალას ამჟღავნებს. სერტიფიკატით ავთენტიფიკაცია ამტკიცებს პირად გასაღებს მისი გაგზავნის გარეშე, ხოლო ფედერაციის ნაკადს შეუძლია პაროლი იდენტობის პროვაიდერთან დატოვოს და VPN-ს შეზღუდული განაცხადი გაუგზავნოს. ეს დიზაინები ავიწროებს წრეს, მაგრამ არც ერთი მათგანი არ აქრობს ყველა სანდო მხარეს.
შენახული ჰეშები იცავს სხვა ეტაპს
NIST-ის მითითებები გამოყოფს დაცულ გადაცემას გადამამოწმებლის მედეგი შენახვისგან. მარილი და ხარჯიანი ჰეშირების სქემა ეხმიანება შენახული გადამამოწმებლის საფრთხეს, ანუ იმას, რაც ხდება შემდეგ, თუ მონაცემთა ბაზა გაჟონავს. ისინი არაფერს აკეთებენ გაშვების დროის კომპონენტისთვის, რომელმაც შედარებისთვის შეყვანა უნდა მიიღოს. მითითებების ისე წაკითხვა, თითქოს ისინი გაშვების დროის საიდუმლოებას გვპირდებოდნენ, კატეგორიის შეცდომაა.
ამრიგად, კარგად ჰეშირებული პაროლების საცავი და ღია გადამოწმების სკრიპტი შეიძლება ერთ პროდუქტში წინააღმდეგობის გარეშე თანაარსებობდეს.
ისეთი მეთოდის არჩევა, რომელიც ავიწროებს წრეს
თუ მოთხოვნაა, რომ კარიბჭემ არასოდეს მიიღოს ხელახლა გამოსაყენებელი პაროლი, აირჩიეთ მეთოდი, რომელიც ამას ნამდვილად იძლევა გარანტიას; მონაცემთა შიფრის შეცვლა ამ თვისებას არ ქმნის. VPN სერვერის სერტიფიკატის გადამოწმება გეუბნებათ, რომელ პარტნიორს მიაღწიეთ; ის არაფერს ამბობს იმაზე, როგორ ეპყრობა ეს პარტნიორი შემდეგ სერტიფიკატებს. შეინარჩუნეთ სერვერის გადამოწმება, გამოიყენეთ განსხვავებული სერტიფიკატები თითოეული სერვისისთვის და მიჰყევით ორგანიზაციის მხარდაჭერილ იდენტობის ნაკადს.
ჩაწერეთ მხარე, რომელიც იღებს პაროლს, მხარე, რომელიც ამოწმებს მას და ფორმა, რომლითაც ინახება. ეს სამი პასუხი კავშირის პროფილის გვერდით უნდა იყოს, რადგან ისინი ნებისმიერ კონკრეტულ გვირაბზე დიდხანს ცოცხლობენ.
სასარგებლო კითხვა არ არის, დაიშიფრა თუ არა პაროლი, არამედ ვისგან იმალება ის, რომელი კომპონენტი იღებს მას და რა ფორმა რჩება შემდეგ.