tls-auth vs tls-crypt: OpenVPN ನಲ್ಲಿ ಪ್ರತಿಯೊಂದೂ ಏನನ್ನು ರಕ್ಷಿಸುತ್ತದೆ

ಎರಡೂ ಆಯ್ಕೆಗಳು ಹಂಚಿದ ಕೀಲಿ ಫೈಲ್ ಬಳಸುತ್ತವೆ ಮತ್ತು ಎರಡೂ ಹ್ಯಾಂಡ್ಶೇಕ್ ಸಂಚಾರವನ್ನು ನಕಲಿ ಮಾಡುವುದನ್ನು ಕಷ್ಟಕರಗೊಳಿಸುತ್ತವೆ, ಆದ್ದರಿಂದ ಅವನ್ನು ಒಂದೇ ವೈಶಿಷ್ಟ್ಯದ ಎರಡು ಹೆಸರುಗಳಂತೆ ಪರಿಗಣಿಸಲಾಗುತ್ತದೆ. ಹಾಗಲ್ಲ. ಒಂದು ನಿಯಂತ್ರಣ ಪ್ಯಾಕೆಟ್ಗಳಿಗೆ ಸಹಿ ಹಾಕುತ್ತದೆ, ಇನ್ನೊಂದು ಅವನ್ನು ಎನ್ಕ್ರಿಪ್ಟ್ ಕೂಡ ಮಾಡುತ್ತದೆ, ಮತ್ತು ನಿಮ್ಮ ಪೇಲೋಡ್ ರಕ್ಷಿಸುವ ಸೈಫರ್ಗೂ ಅವುಗಳಿಗೆ ಸಂಬಂಧವಿಲ್ಲ.

ಪ್ರೊಫೈಲ್ ಸಂಪರ್ಕ ಆಗದಿದ್ದಾಗ, ಭದ್ರತಾ ಪರಿಶೀಲನೆ ಕೀಲಿ ಯಾವುದನ್ನು ರಕ್ಷಿಸುತ್ತದೆ ಎಂದು ಕೇಳಿದಾಗ, ಮತ್ತು ಹೆಚ್ಚುವರಿ ಫೈಲ್ ಟನೆಲ್ ಅನ್ನು ಯಾವುದೋ ಅನಿರ್ದಿಷ್ಟ ರೀತಿಯಲ್ಲಿ ಎನ್ಕ್ರಿಪ್ಟ್ ಮಾಡುತ್ತದೆ ಎಂದು ಯಾರಾದರೂ ಭಾವಿಸಿದಾಗ ಈ ವ್ಯತ್ಯಾಸ ಮುಖ್ಯ.

ಹಂಚಿದ ಕೀಲಿ ವಾಸ್ತವವಾಗಿ ಏನನ್ನು ರಕ್ಷಿಸುತ್ತದೆ

ಈ ಆಯ್ಕೆಗಳು ಬಳಸುವ ಕೀಲಿ ನಿಯಂತ್ರಣ ಚಾನೆಲ್ಗೆ ಸೇರಿದೆ: ನಿಯತಾಂಕಗಳನ್ನು ಸಮಾಲೋಚಿಸುವ, ಗುರುತುಗಳನ್ನು ಸಾಬೀತುಪಡಿಸುವ ಮತ್ತು ಡೇಟಾ ಕೀಲಿಗಳನ್ನು ಪಡೆಯುವ ವಿನಿಮಯ. ಇದು ಮುಂಚಿತವಾಗಿ ಹಂಚಿದ ರಹಸ್ಯವಾಗಿದ್ದು, ಹ್ಯಾಂಡ್ಶೇಕ್ ಮುಂದುವರಿಯುವ ಮೊದಲು ಎರಡೂ ತುದಿಗಳಲ್ಲಿ ಇರಬೇಕು. ಇದು ಗುರುತು ಪರಿಶೀಲನೆಗಳ ಮೊದಲು ಇರುವುದರಿಂದ, ತಪ್ಪು ಕೀಲಿ ತಪ್ಪು ಗುಪ್ತಪದಕ್ಕಿಂತ ಬೇಗ ಸಂಭಾಷಣೆಯನ್ನು ನಿಲ್ಲಿಸುತ್ತದೆ. ಆ ಕ್ರಮವೇ ವೈಫಲ್ಯದ ಸ್ವರೂಪ ಎಷ್ಟು ಮೌನವಾಗಿದೆ ಎಂಬುದನ್ನು ವಿವರಿಸುತ್ತದೆ.

tls-auth ಆ ರಹಸ್ಯವನ್ನು ನಿಯಂತ್ರಣ ಪ್ಯಾಕೆಟ್ಗಳ ಮೇಲೆ HMAC ಲೆಕ್ಕಹಾಕಲು ಬಳಸುತ್ತದೆ. ಮಾನ್ಯ ಸಹಿ ಇಲ್ಲದ ಪ್ಯಾಕೆಟ್ ದುಬಾರಿಯಾದ TLS ಸಂಸ್ಕರಣೆಗೆ ತಲುಪುವ ಮೊದಲೇ ತಿರಸ್ಕರಿಸಲ್ಪಡುತ್ತದೆ, ಆದ್ದರಿಂದ ಈ ಆಯ್ಕೆಯನ್ನು TLS ನ ಬದಲಿಯಲ್ಲ, ಮೊದಲ ಫಿಲ್ಟರ್ ಎಂದು ವಿವರಿಸಲಾಗುತ್ತದೆ.

tls-crypt ಇನ್ನೂ ಮುಂದೆ ಹೋಗಿ ಸಂರಕ್ಷಿತ ನಿಯಂತ್ರಣ ಸಂಚಾರವನ್ನು ದೃಢೀಕರಿಸುವುದರ ಜೊತೆಗೆ ಎನ್ಕ್ರಿಪ್ಟ್ ಕೂಡ ಮಾಡುತ್ತದೆ. ಪ್ರಮಾಣಪತ್ರಗಳ ವಿಷಯ, ಸಮಾಲೋಚಿಸಿದ ಸೈಫರ್ ಹೆಸರುಗಳು ಮತ್ತು ಹ್ಯಾಂಡ್ಶೇಕ್ನ ಇತರ ವಿವರಗಳು ಇನ್ನು ಮೇಲೆ ಜಾಲದಲ್ಲಿ ಕಾಣುವುದಿಲ್ಲ, ಮತ್ತು ಕೀಲಿ ಇಲ್ಲದ ವೀಕ್ಷಕನಿಗೆ ಯಾವ TLS ಆವೃತ್ತಿ ಪ್ರಯತ್ನಿಸಲಾಗುತ್ತಿದೆ ಎಂಬುದೂ ಕಾಣುವುದಿಲ್ಲ. ತನ್ನ VPN ಗುರುತು ಬಹಿರಂಗವಾಗುವ ಭಯವಿರುವ ನಿಯೋಜನೆಗೆ ಈ ಗುಣವೇ ಅದನ್ನು ಆಯ್ಕೆ ಮಾಡುವ ಮುಖ್ಯ ಕಾರಣ. ಅದು ಇನ್ನೂ ಗುಂಪು ರಹಸ್ಯ, ಪ್ರತಿ ಬಳಕೆದಾರರ ರುಜುವಾತಲ್ಲ.

ಯಾವುದೇ ಕಾರ್ಯವಿಧಾನ ಗುರುತುಗಳನ್ನು ನೀಡುವುದಿಲ್ಲ. ಹಂಚಿದ ಕೀಲಿ ಗುಂಪು ರಹಸ್ಯ, ಮತ್ತು ಅದನ್ನು ಹೊಂದಿರುವ ಯಾರಾದರೂ ಪರಿಶೀಲನೆಯ ಆ ಪದರವನ್ನು ಪೂರೈಸಬಹುದು.

ಎರಡೂ ಆಯ್ಕೆಗಳು ಎಲ್ಲಿ ಭಿನ್ನವಾಗಿವೆ

ಕಾಣುವ ವ್ಯತ್ಯಾಸ ಎಂದರೆ ವೀಕ್ಷಕನಿಗೆ ಏನು ಕಾಣುತ್ತದೆ ಎಂಬುದು. tls-auth ಜೊತೆಗೆ ಹ್ಯಾಂಡ್ಶೇಕ್ ಕಾಣುತ್ತದೆ ಆದರೆ ಕೀಲಿ ಇಲ್ಲದೆ ಪರಿಶೀಲಿಸಲಾಗದು. tls-crypt ಜೊತೆಗೆ ಹ್ಯಾಂಡ್ಶೇಕ್ ಕೀಲಿ ಇಲ್ಲದ ಯಾರಿಗೂ ಅಸ್ಪಷ್ಟವಾಗಿದೆ.

ಸಂರಚನೆಯೂ ಭಿನ್ನ. tls-auth ದಿಕ್ಕಿನ ಮೌಲ್ಯದೊಂದಿಗೆ ಬಳಸಲಾಗುತ್ತದೆ, ಆದ್ದರಿಂದ ಒಂದು ಬದಿ ಕೀಲಿ ಸಾಮಗ್ರಿಯ ಒಂದು ಅರ್ಧವನ್ನು ಬಳಸುತ್ತದೆ, ಇನ್ನೊಂದು ಬದಿ ಉಳಿದ ಅರ್ಧವನ್ನು. tls-crypt ಎರಡೂ ದಿಕ್ಕುಗಳಲ್ಲಿ ಒಂದೇ ಕೀಲಿ ಬಳಸುತ್ತದೆ, ಆದ್ದರಿಂದ ದಿಕ್ಕಿನ ಸೂಚನೆ ಅದರ ರಚನೆಯ ಭಾಗವಲ್ಲ.

ಆಧುನಿಕ ಆವೃತ್ತಿಗಳಲ್ಲಿ ಎರಡೂ ಆಯ್ಕೆಗಳು ಪರಸ್ಪರ ವರ್ಜಿಸುತ್ತವೆ. ಪ್ರೊಫೈಲ್ ಅವುಗಳಲ್ಲಿ ಒಂದನ್ನು ಹೊತ್ತಿರಬೇಕು, ಎರಡನ್ನೂ ಅಲ್ಲ, ಮತ್ತು ಸರ್ವರ್ ಹಾಗೂ ಕ್ಲೈಂಟ್ ಒಂದೇ ರೀತಿಯ ಕೀಲಿ ಸಾಮಗ್ರಿಯೊಂದಿಗೆ ಯಾವುದು ಎಂದು ಒಪ್ಪಬೇಕು. ಹಳೆಯ ಸೂಚನೆಯನ್ನು ಹೊಸದರ ಪಕ್ಕದಲ್ಲಿ ಇಟ್ಟುಕೊಳ್ಳುವುದು ಸಾಮಾನ್ಯ ಸ್ಥಳಾಂತರದ ಶೇಷ. ನಿಷ್ಕ್ರಿಯವನ್ನು ತೆಗೆದುಹಾಕಿ, ಮುಂದಿನ ಓದುಗರಿಗೆ ಯಾವ ಪದರ ನಿಜವಾಗಿ ಜಾರಿಯಲ್ಲಿದೆ ಎಂದು ತಿಳಿಯುತ್ತದೆ.

ಹೊಸ ರೂಪಾಂತರ, tls-crypt-v2, ಪ್ರತಿ ಕ್ಲೈಂಟ್ ಅನ್ನು ಅದರ ಸ್ವಂತ ಸುತ್ತಿದ ಕೀಲಿಗೆ ಬಂಧಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಒಂದು ಕ್ಲೈಂಟ್ ಅನ್ನು ರದ್ದುಗೊಳಿಸಲು ಗುಂಪು ಕೀಲಿಯನ್ನು ಮತ್ತೆ ನೀಡಬೇಕಾಗಿಲ್ಲ. ಇದನ್ನು ತಿಳಿಯುವುದು ಒಳ್ಳೆಯದು, ಆದರೆ ಇದು ಬೇರೆ ಆಯ್ಕೆ ಮತ್ತು ಇಲ್ಲಿನ ಎರಡರಲ್ಲಿ ಯಾವುದಕ್ಕೂ ಸಮಾನಾರ್ಥಕವಲ್ಲ.

ಹೊಂದಾಣಿಕೆಯಿಲ್ಲದಿರುವುದು ಏಕೆ ಏನೂ ಆಗದಂತೆ ಕಾಣುತ್ತದೆ

ಹಂಚಿದ ಸಾಮಗ್ರಿ ಹೊಂದಿಕೆಯಾಗದಿದ್ದಾಗ, ಎದುರು ತುದಿ ಕಳುಹಿಸುವವರಿಗೆ ಕಾರಣ ಹೇಳದೆ ಪ್ಯಾಕೆಟ್ಗಳನ್ನು ಬಿಸಾಡುತ್ತದೆ. ಓದಲು ಯಾವುದೇ ದೃಢೀಕರಣ ದೋಷ ಇರುವುದಿಲ್ಲ, ಏಕೆಂದರೆ ಪ್ಯಾಕೆಟ್ ಅದನ್ನು ಉತ್ಪಾದಿಸುವ ಪದರವನ್ನು ಎಂದಿಗೂ ತಲುಪಲಿಲ್ಲ.

ಕ್ಲೈಂಟ್ ಮತ್ತೆ ಪ್ರಯತ್ನಿಸುತ್ತದೆ, ಸರ್ವರ್ ಏನೂ ಹೇಳುವುದಿಲ್ಲ, ಮತ್ತು ಲಕ್ಷಣ ಜಾಲ ಸಮಸ್ಯೆಯಂತೆ ಕಾಣುತ್ತದೆ. ನಂತರ ಜನರು ಸೇವೆಯನ್ನು ಮರುಪ್ರಾರಂಭಿಸುತ್ತಾರೆ, ಖಾತೆಯ ಗುಪ್ತಪದವನ್ನು ಮತ್ತೆ ಬರೆಯುತ್ತಾರೆ, ಅಥವಾ «ಪರೀಕ್ಷಿಸಲು» ರಕ್ಷಣಾ ಸೂಚನೆಯನ್ನು ತೆಗೆಯುತ್ತಾರೆ, ಇದು ಪತ್ತೆಹಚ್ಚುವ ಬದಲು ನಿಯೋಜನೆಯನ್ನು ಬದಲಿಸುತ್ತದೆ.

ಸರ್ವರ್ ಲಾಗ್ನಲ್ಲಿ ಕೊನೆಯ ಮರುಪ್ರಯತ್ನ ಸಾಲಿನ ಬದಲು ಪ್ಯಾಕೆಟ್ ಮಟ್ಟದ ಮೊದಲ ದೂರನ್ನು ಓದಿ. ಎರಡೂ ಬದಿಗಳು ಒಂದೇ ಕೀಲಿ ಸಾಮಗ್ರಿಯೊಂದಿಗೆ ಅದೇ ಆಯ್ಕೆಯನ್ನು ಹೊಂದಿವೆ ಮತ್ತು ಕೀಲಿ ಫೈಲ್ ಒಂದು ಬದಿಯಲ್ಲಿ ಮಾತ್ರ ಮರುಸೃಷ್ಟಿಯಾಗಿಲ್ಲ ಎಂದು ಖಚಿತಪಡಿಸಿ.

ಸೂಚನೆಯನ್ನು ತೆಗೆಯುವುದು ಸುರಕ್ಷಿತ ದುರಸ್ತಿಯಲ್ಲ. ಅದು ಪ್ರತಿ ಕ್ಲೈಂಟ್ಗೂ ಒಂದು ರಕ್ಷಣಾ ಪದರವನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುತ್ತದೆ, ಮತ್ತು ನಂತರ ಕೆಲಸ ಮಾಡುವ ಟನೆಲ್ ಆ ಪದರವೇ ಹೊಂದಾಣಿಕೆಯಿಲ್ಲದಿರುವುದು ಎಂದು ಮಾತ್ರ ಸಾಬೀತುಪಡಿಸುತ್ತದೆ.

ಇನ್ನೂ ಪ್ರತ್ಯೇಕವಾಗಿ ಸಂರಚಿಸಬೇಕಾದದ್ದು

ಈ ಆಯ್ಕೆಗಳು ಎದುರು ತುದಿ ಯಾರು ಎಂದು ಪರಿಶೀಲಿಸುವುದಿಲ್ಲ. ಪ್ರಮಾಣಪತ್ರ ಮೌಲ್ಯೀಕರಣ, ವಿಶ್ವಾಸ ಆಧಾರ ಮತ್ತು ನಿರೀಕ್ಷಿತ ಸರ್ವರ್ ಹೆಸರು ಪ್ರತ್ಯೇಕ ಅಗತ್ಯಗಳಾಗಿ ಉಳಿಯುತ್ತವೆ, ಮತ್ತು ಹಂಚಿದ ಕೀಲಿ ಇರುವುದರಿಂದ ಅವುಗಳಲ್ಲಿ ಯಾವುದೂ ಐಚ್ಛಿಕವಾಗುವುದಿಲ್ಲ.

ಅವು ಡೇಟಾ ಸೈಫರ್ ಅನ್ನೂ ಆಯ್ಕೆ ಮಾಡುವುದಿಲ್ಲ. ಅದು ಎರಡೂ ತುದಿಗಳ ಡೇಟಾ-ಚಾನೆಲ್ ಸೆಟ್ಟಿಂಗ್ಗಳಿಂದ ನಿಯಂತ್ರಿಸಲ್ಪಡುವ ಪ್ರತ್ಯೇಕ ಸಮಾಲೋಚನೆ, ಮತ್ತು tls-crypt ನಿಂದ ರಕ್ಷಿಸಲ್ಪಟ್ಟ ಟನೆಲ್ ಸಹ ನೀವು ಉದ್ದೇಶಿಸದ ಸೈಫರ್ ಬಳಸಬಹುದು.

ಕೊನೆಯದಾಗಿ, ಹಂಚಿದ ಕೀಲಿಗೆ ಸ್ವತಃ ಕಾಳಜಿ ಬೇಕು. ಅದನ್ನು ರಹಸ್ಯವೆಂದು ಪರಿಗಣಿಸಿ, ಅನುಮೋದಿತ ಚಾನೆಲ್ ಮೂಲಕ ಹಂಚಿ, ಮತ್ತು ಅದನ್ನು ಹೊಂದಿದ್ದ ಯಾರಾದರೂ ಹೋದಾಗ ಬದಲಾಯಿಸಿ. ಅದು ಹಂಚಿದ್ದಾಗಿರುವುದರಿಂದ, ಅದರ ಬಹಿರಂಗವು ಅದನ್ನು ಬಳಸುವ ಪ್ರತಿ ತುದಿಯ ಬಹಿರಂಗವಾಗಿದೆ.