Екі VPN қабатын үсті-үстіне қою керек пе? Тексеруге арналған үш шарт

VPN-ге екінші шифрлау қабатын қоспас бұрын бір сұраққа адал жауап беріңіз: екі қабат өз жұмысын бітіргеннен кейін бақылаушының қолында не қалады? Егер жауап ішкі шифрмәтін болса, өзгеріссіз, онда ұялау уақыт сатып алды, басқа ештеңе емес. Одан кейін келетін нәрсе — ұсыным емес, шешім рәсімі. Сол диаграмма бір орналастыруда ысырап процессор, екіншісінде дұрыс жауап, және екеуін тек үш шарт ажыратады.

Бақылаушы нені сақтайтынын жазыңыз

Қарсылас бүгін сақтай алатын нысанды жазып алыңыз, содан кейін ашық мәтінді ақырында ашатын жою тізбегін жазыңыз. Сыртқы туннель шифрмәтін шығарады; оның қорғанысы біткенде қалатыны — ішкі туннельдің шифрмәтіні, әлі де бітелген. Қабықты шешу — шифрды ашу емес. Бұл сөйлем ұялауды сипаттайды және ішкі кілт өмір сүргенше ғана дұрыс. Екі қабат бірдеңені бөліскен сәтте уақыт сызығы бір оқиғаға құлайды.

Сондықтан пайдалы артефакт — қораптар диаграммасы емес, уақыт сызығы. Әр қабат үшін соңғы нүктені, кілт иесін, сәйкестік тексеруін және болжамның күтілетін сәтсіздік жылын жазыңыз.

Өз тұжырымыңызды тексерудің практикалық жолы: бақылаушы бәрін жазып алады және ешқашан берілмейді деп есептеңіз. Осы болжам бойынша дизайн жүктемені қажетті өмір сүру мерзімі ішінде әлі де қорғай ма? Егер жауап бақылаушының трафикті сақтамауды таңдауына байланысты болса, дизайнның жауабы жоқ.

Бірінші шарт: қабаттар әртүрлі жерде тоқтай ма?

Ұялау екі қабат әртүрлі сенім аймақтарында аяқталғанда пайдалы, мысалы, провайдер басқаратын IPsec қақпасы өз желіңіздің ішінде аяқталатын қолданбалық деңгейдегі туннельдің алдында. Сонда сыртқы қабатты бұзу тек сіздің хост аша алатын шифрмәтін береді, ал провайдер ешбір сәтте ашық мәтінді көрмейді. Екі қабатты бір қақпаға қойыңыз — бұл қасиет жоғалады. Қорапты бұзған адам екі шифрды ашу операциясының арасындағы трафикті оқиды, диаграмма қанша қабық көрсетсе де.

Мұны дизайнмен емес, орнатылған күймен тексеріңіз. Linux-те ip xfrm state әрбір қауіпсіздік ассоциациясын және оның соңғы нүктелерін тізімдейді, бұл әр қабаттың қай жерде шынымен тоқтайтынын анықтайды.

Екінші шарт: кілт материалы шынымен тәуелсіз бе?

Бір сертификаттан, бір алдын ала бөлінген кілттен немесе бір жеткізуші кітапханасынан құралған екі қабат — қосымша қадамдары бар бір қабат. Сонда бір ғана ұрланған тіркелгі деректері екеуін де ашады, ал бір іске асыру қатесі екеуін бірден жояды. Тәуелсіздік конфигурацияда көрінуі керек, слайдта мәлімделмеуі керек.

Міне осында гибридті кілт орнату туннельдерді қабаттаудан басым. IKEv2 бір келіссөзде бірнеше кілт алмасуды тасымалдай алады, сондықтан классикалық топ пен посткванттық KEM екеуі де бір сессия кілттерін қоректендіре алады, бірін-бірі орау орнына. Нәтиже — кілттері екі құпияға да тәуелді бір қауіпсіздік ассоциациясы, ал шабуылдаушы екеуін де бұзуға тиіс. Бұл құрамы анықталған құжатталған құрылым, ал екі VPN өнімінен жасалған үй тұрғысындай қабат емес. strongSwan-да swanctl --list-sas әр SA үшін келісілген ұсынысты басып шығарады, және осылайша сіз нені конфигурациялағаныңызды емес, шын мәнінде ненің жұмыс істегенін растайсыз.

Үшінші шарт: деректер сыртқы болжамнан ұзақ өмір сүре ме?

Жиырма жылға шыдауға тиіс қабатқа жиырма жылдық дәлел керек. Қазір жазып алу, кейін шифрын ашу арзан, сондықтан классикалық сыртқы қабатты күштірек нәрсенің айналасындағы уақытша қабық ретінде қарауға болмайды.

Әр кілттің қашан қалпына келтірілетінін сұраңыз, бүгін шифрдың бұзылғанын емес. Алға қарай құпиялылықсыз статикалық кілт алмасу жеке кілт құлаған күні кері әсер етіп сәтсіздікке ұшырайды. Эфемерлік кілт келісімі тек шабуылдаушы тірі кезінде шабуылдай алатын сессияларда немесе алгоритмнің өзі әлсірегенде сәтсіздікке ұшырайды. Бұл айырмашылық ішкі қабаттың 2040 жылы әлі де көмектесетінін шешеді. Ол сондай-ақ сыртқы қабаттың мүлдем бірдеңені өзгертетінін шешеді, өйткені кілт өмірі әлсізірек сыртқы қабат жай ғана уақыт сызығындағы ең ерте нүктеге айналады.

Жауап жоқ болғанда оның орнына не салу керек

Үш шарттың кез келгені орындалмаса, ұялаудан бас тартып, күш-жігерді өмір талабын шынымен көтеретін қабатқа жұмсаңыз. Қазірдің өзінде іске қосып жатқан протоколда гибридті кілт алмасуды конфигурациялаңыз, іске асыруды өзекті ұстаңыз және сүйенетін құрамыңызды жазыңыз. Дизайн құжатында ML-KEM атау — қауіпсіздік қасиеті емес, ал FIPS 203 кілтті қаптау механизмін анықтайды, сіздің туннеліңізді емес.

Екінші қабат шынымен өз орнын алатын жерде, оны дәлел ретінде емес, тереңдіктегі қорғаныс ретінде сипаттаңыз. Содан кейін құрамды тексеріңіз: қай соңғы нүкте қай кілтті ұстайды, әр тарап қай сәйкестікті тексереді және консольге қол жеткізе алатын оператор нені оқи алады. Осы үш сұраққа төтеп беретін дизайн қосымша процессорға тұрарлық. Төтеп бермейтіні — жай ғана диаграмма.

Өзгеріс терезесінің алдында ағымдағы SA кестесін және келісілген ұсыныстарды жазып алыңыз, одан кейін оларды қайта жазып алып салыстырыңыз, өйткені мән беретін жалғыз дәлел — құрылғылардың шынымен келіскені.