Сіздің VPN құпия сөзі оны тексеретін компонент қаншалықты құпия болса, соншалықты құпия

Кез келген VPN кіруі туралы төрт сұрақты қарастырыңыз: құпия сөзді тасымалдау кезінде не қорғайды, оны қай компонент алады, сол компонент онымен не істейді және кейін не сақталады. Әр жауап бөлек бақылау болып табылады, және біреуіне берілген мықты жауап қалғандары туралы ештеңе айтпайды. Қате — туннель шифрлауын төртеуін де қамтиды деп қарау. Ол тек біріншісін қамтиды, басқа ешнәрсені емес.

Сессияның шифрланғанын емес, оны кім аяқтайтынын сұраңыз.

Кімге шифрланған, дәлірек айтсақ?

TLS құпия сөзді клиент пен қосылымды аяқтайтын нәрсенің арасында қорғайды. Егер бұл соңғы нүкте VPN шлюзі болса, шлюздің аутентификация коды ашық мәтіндегі құпия сөзді көреді, оны тексереді және оны немесе одан алынған мәнді әрі қарай жібереді. Бұл көзделген дизайн, ақаулық емес. Жолдағы желілік бақылаушы пайдалы ештеңе білмейді, ал тексеруді орындайтын компонент өзіне қажеттінің бәрін біледі.

OpenVPN қауымдастығы мұны анық құжаттайды: auth-user-pass-verify ұсынылған тіркелгі деректерін тексеру скриптіне немесе плагиніне береді. Бұл компоненттер арасындағы әдейі беріліс, және ол аталған тарап ретінде сенім үлгісіне жатады.

Тексеруші құпия сөзді көреді

Компонент құпия сөзді тексеру үшін алғаннан кейін, құпияның іште қалатынын оның қатынас бақылауы, журналдауы және код сапасы шешеді. Тіркелгі деректерін журналға жазатын скрипт немесе оларды кэште сақтайтын плагин протокол жасағаннан әлдеқайда үлкен әшкерелік тудырады. Қатынас туннельге емес, сәулет пен рөлдерге байланысты, сондықтан тексерушіні басқаратын қызмет иесі бағалауға кіреді.

Әртүрлі әдістер әртүрлі материалды әшкерелейді. Сертификатпен аутентификация жеке кілтті жібермей дәлелдейді, ал федерация ағыны құпия сөзді сәйкестендіру провайдерінде қалдырып, VPN-ке шектелген мәлімдеме бере алады. Бұл дизайндар шеңберді тарылтады; олардың ешқайсысы сенімді тараптардың бәрін жоймайды.

Сақталған хэштер басқа кезеңді қорғайды

NIST нұсқаулығы қорғалған тасымалды тексерушінің берік сақталуынан ажыратады. Тұздау және қымбат хэштеу схемасы сақталған тексеруші қатерін шешеді, яғни дерекқор ағып кетсе кейін болатын жағдайды. Олар салыстыру үшін кірісті алуға міндетті орындалу уақытындағы компонент үшін ештеңе жасамайды. Нұсқаулықты орындалу уақытының құпиялылығын уәде етеді деп оқу категория қатесі.

Сондықтан жақсы хэштелінген құпия сөз қоймасы мен ашық тексеру скрипті бір өнімде қайшылықсыз қатар өмір сүре алады.

Шеңберді тарылтатын әдісті таңдау

Егер талап шлюздің ешқашан қайта пайдаланылатын құпия сөзді алмауы болса, мұны шынымен кепілдейтін әдісті таңдаңыз; деректер шифрын ауыстыру бұл қасиетті тудырмайды. VPN серверінің сертификатын тексеру қай серіктеске жеткеніңізді айтады; ол сол серіктестің кейін тіркелгі деректерімен қалай жұмыс істейтіні туралы ештеңе айтпайды. Сервер тексеруін сақтаңыз, әр қызмет үшін бөлек тіркелгі деректерін пайдаланыңыз және ұйым қолдайтын сәйкестендіру ағынын ұстаныңыз.

Құпия сөзді алатын тарапты, оны тексеретін тарапты және оның қандай нысанда сақталатынын жазып алыңыз. Бұл үш жауап қосылым профилінің қасына жатады, өйткені олар кез келген нақты туннельден ұзақ өмір сүреді.

Пайдалы сұрақ — құпия сөздің шифрланғаны емес, оның кімнен жасырылғаны, оны қай компонент алатыны және кейін қандай нысан қалатыны.