IPsec, OpenVPN және WireGuard ішінде алдын ала ортақтасқан кілт не істейді

Алдын ала ортақтасқан кілт деген сөздер IPsec, OpenVPN және WireGuard құжаттамасында кездеседі, бірақ үш түрлі нысанды білдіреді. Біреуі аутентификация құпиясы, екіншісі басқару арнасын қорғайды, үшіншісі қазірдің өзінде сәйкестіктері бар қол алысуға материал қосады. Оларды бірін-бірі алмастыратын деп санасақ, ешкім күтпеген кезеңде сәтсіз аяқталатын қосылым аламыз. Мәнді сол жерге көшірмес бұрын өрістің сол протоколда не істейтінін оқыңыз.

Үш протокол, үш мағына

Әр протокол кілттің міндетін өз ерекшелігінде анықтайды және бұл міндеттер қабаттаспайды. Аутентификация құпиясы екі тараптың бірдей мәнді білетінін дәлелдейді. Басқару арнасының кілті кейінгі келіссөздерді қорғайды. Қол алысуға қосылған бөлік тараптардың кім екенін өзгертпей кілт кестесін өзгертеді.

Бұл рөлдердің ешқайсысы адамды аутентификацияламайды және ең көп уақытты алатын шатасу осы. Алдын ала ортақтасқан кілт алмасуға дейін құрылғыларға немесе шлюздерге орналастырылады, сондықтан әрбір иеленуші қарсы тарапқа бірдей көрінеді. Бұл қасиет екі маршрутизатор арасындағы байланыс үшін артықшылық, ал аты-жөні белгілі қызметкерлері бар қашықтан қатынау қызметі үшін тәуекел. Есептік жазба деректерін және криптографиялық құпияны орналастыруды сипаттайтын құжаттың бөлек бағандарында ұстаңыз.

IPsec және OpenVPN сөзді басқаша қолданады

IKEv2 қарсы тарапты сертификаттың орнына алдын ала ортақтасқан құпиямен аутентификациялай алады және мән екі жақта да сәйкесуі керек. Сол құпия әдетте тараптар тобы үшін конфигурацияланатындықтан, кез келген иеленуші басқаларының орнына өте алады және алмасу ешқашан болмаған сәйкестік кілттерінен ілгері құпиялылық таппайды.

OpenVPN-нің tls-auth және tls-crypt опциялары басқару арнасына статикалық кілтті тіркейді, не HMAC қолтаңбасын қосады, не келіссөздердің өзін шифрлайды. Бұл кілт пайдаланушы құпиясөзі емес және клиент сертификатын алмастырмайды. Екеуін ажырату жаңарту кезінде маңызды, өйткені құпиясөзді ауыстыру басқару арнасының кілтін тимей қалдырады.

WireGuard-тың PSK-сы қосады, сәйкестендірмейді

WireGuard тараптарының Curve25519 ашық және жеке кілттері әлдеқашан бар және қол алысу осы сәйкестіктерді аутентификациялайды. Қосымша алдын ала ортақтасқан кілт тізбек кілтіне араласады және ашық кілттер алмасуының үстіне симметриялық материал қосады.

Ол өздігінен сәйкестік те, пайдаланушы есебі де бермейді, сондықтан оператор екі иеленушіні PSK-лары бойынша ажырата алмайды. Екі жақ та бірдей мәнді алып жүруі керек, әйтпесе қол алысу пайдалы қате хабарламасынсыз сәтсіз аяқталады. Сондықтан ротацияны бір файлды өңдеу ретінде емес, екі жақ үшін бір уақытта жоспарлау керек.

Таратуды, ротацияны және жоюды тексеріңіз

Тарату бір құпияны көп жерде қолданатын кез келген жобаның әлсіз жері. Чат терезесіне қойылған, қоймада сақталған немесе орталар арасында қайта қолданылған мән ешкім санай алмайтын көшірмелер жинайды және әр көшірме залал аясын үнсіз кеңейтеді.

Base64 мәтіні шифрлау емес. Сол қалтада ашық сертификаттың қасында сақталған құпия әлі де ашық мәтіндегі құпия.

openssl rand -base64 32
sudo wg show wg0 preshared-keys
sudo grep -R -n 'psk' /etc/ipsec.d/ 2>/dev/null

Кесте бойынша және күдікті ашылғаннан кейін ротация жасаңыз, ескі мәнді қайтарып алмас бұрын барлық жоспарланған тарапты жаңартыңыз. Содан кейін байланысты екі жақтан да тексеріңіз, өйткені сәйкеспейтін кілт қол алысуда сәтсіз аяқталады және дәл қауіпсіздік қабырғасы мәселесіне ұқсайды.

Қай құпияның қай кезеңді қорғайтынын құжаттаңыз, сонда құпиясөзді қалпына келтіру ешқашан криптографиялық кілтті жаңартумен шатастырылмайды. Сол бір жол әркім орналастыруды тексергенде бір сағат үнемдейді.