IPsec, OpenVPN ಮತ್ತು WireGuard ನಲ್ಲಿ ಮೊದಲೇ ಹಂಚಿದ ಕೀಲಿ ಏನು ಮಾಡುತ್ತದೆ

ಮೊದಲೇ ಹಂಚಿದ ಕೀಲಿ ಎಂಬ ಪದಗಳು IPsec, OpenVPN ಮತ್ತು WireGuard ದಾಖಲೆಗಳಲ್ಲಿ ಕಾಣುತ್ತವೆ, ಆದರೆ ಮೂರು ಬೇರೆ ಬೇರೆ ವಸ್ತುಗಳನ್ನು ಸೂಚಿಸುತ್ತವೆ. ಒಂದು ದೃಢೀಕರಣ ರಹಸ್ಯ, ಇನ್ನೊಂದು ನಿಯಂತ್ರಣ ಚಾನೆಲ್ ಅನ್ನು ರಕ್ಷಿಸುತ್ತದೆ, ಮೂರನೆಯದು ಈಗಾಗಲೇ ಗುರುತುಗಳನ್ನು ಹೊಂದಿರುವ ಕೈಕುಲುಕುವಿಕೆಗೆ ಸಾಮಗ್ರಿ ಸೇರಿಸುತ್ತದೆ. ಇವನ್ನು ಪರಸ್ಪರ ಬದಲಾಯಿಸಬಹುದಾದವು ಎಂದು ಪರಿಗಣಿಸಿದರೆ ಯಾರೂ ನಿರೀಕ್ಷಿಸದ ಹಂತದಲ್ಲಿ ವಿಫಲವಾಗುವ ಸಂಪರ್ಕ ಉಂಟಾಗುತ್ತದೆ. ಮೌಲ್ಯವನ್ನು ಅದರೊಳಗೆ ನಕಲಿಸುವ ಮೊದಲು ಆ ಪ್ರೋಟೋಕಾಲ್‌ನಲ್ಲಿ ಆ ಕ್ಷೇತ್ರ ಏನು ಮಾಡುತ್ತದೆ ಎಂದು ಓದಿ.

ಮೂರು ಪ್ರೋಟೋಕಾಲ್‌ಗಳು, ಮೂರು ಅರ್ಥಗಳು

ಪ್ರತಿ ಪ್ರೋಟೋಕಾಲ್ ಕೀಲಿಯ ಕೆಲಸವನ್ನು ತನ್ನ ವಿಶೇಷಣದಲ್ಲಿ ವ್ಯಾಖ್ಯಾನಿಸುತ್ತದೆ, ಆ ಕೆಲಸಗಳು ಒಂದರ ಮೇಲೊಂದು ಬೀಳುವುದಿಲ್ಲ. ದೃಢೀಕರಣ ರಹಸ್ಯವು ಎರಡು ಪಕ್ಷಗಳು ಒಂದೇ ಮೌಲ್ಯವನ್ನು ತಿಳಿದಿವೆ ಎಂದು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ. ನಿಯಂತ್ರಣ ಚಾನೆಲ್‌ನ ಕೀಲಿ ನಂತರ ಬರುವ ಮಾತುಕತೆಯನ್ನು ರಕ್ಷಿಸುತ್ತದೆ. ಕೈಕುಲುಕುವಿಕೆಯ ಹೆಚ್ಚುವರಿ ಭಾಗ ಕೀಲಿ ವೇಳಾಪಟ್ಟಿಯನ್ನು ಬದಲಿಸುತ್ತದೆ, ಆದರೆ ಪಕ್ಷಗಳು ಯಾರು ಎಂಬುದನ್ನು ಬದಲಿಸುವುದಿಲ್ಲ.

ಈ ಪಾತ್ರಗಳಲ್ಲಿ ಯಾವುದೂ ಮನುಷ್ಯನನ್ನು ದೃಢೀಕರಿಸುವುದಿಲ್ಲ, ಆ ಗೊಂದಲವೇ ಹೆಚ್ಚು ಸಮಯ ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆ. ಮೊದಲೇ ಹಂಚಿದ ಕೀಲಿ ವಿನಿಮಯಕ್ಕೆ ಮೊದಲು ಸಾಧನಗಳಲ್ಲಿ ಅಥವಾ ಗೇಟ್‌ವೇಗಳಲ್ಲಿ ಇಡಲಾಗುತ್ತದೆ, ಆದ್ದರಿಂದ ಪ್ರತಿ ಹೊಂದಿದವನು ಎದುರುಗಡೆಗೆ ಒಂದೇ ರೀತಿ ಕಾಣುತ್ತಾನೆ. ಈ ಗುಣ ಎರಡು ರೌಟರ್‌ಗಳ ನಡುವಿನ ಸಂಪರ್ಕಕ್ಕೆ ಲಾಭ ಮತ್ತು ಹೆಸರಿಸಿದ ಉದ್ಯೋಗಿಗಳಿರುವ ದೂರ ಪ್ರವೇಶ ಸೇವೆಗೆ ಅಪಾಯ. ಖಾತೆ ರುಜುವಾತುಗಳನ್ನು ಮತ್ತು ಗೂಢಲಿಪೀಕರಣ ರಹಸ್ಯವನ್ನು ನಿಯೋಜನೆಯನ್ನು ವಿವರಿಸುವ ದಾಖಲೆಯ ಬೇರೆ ಬೇರೆ ಅಂಕಣಗಳಲ್ಲಿ ಇಡಿ.

IPsec ಮತ್ತು OpenVPN ಆ ಪದವನ್ನು ಬೇರೆ ರೀತಿಯಲ್ಲಿ ಬಳಸುತ್ತವೆ

IKEv2 ಒಂದು ಪಕ್ಷವನ್ನು ಪ್ರಮಾಣಪತ್ರಗಳ ಬದಲು ಮೊದಲೇ ಹಂಚಿದ ರಹಸ್ಯದಿಂದ ದೃಢೀಕರಿಸಬಹುದು, ಮೌಲ್ಯ ಎರಡೂ ತುದಿಗಳಲ್ಲಿ ಹೊಂದಿಕೆಯಾಗಬೇಕು. ಅದೇ ರಹಸ್ಯ ಸಾಮಾನ್ಯವಾಗಿ ಪಕ್ಷಗಳ ಗುಂಪಿಗೆ ಹೊಂದಿಸಲಾಗುತ್ತದೆ, ಆದ್ದರಿಂದ ಯಾವುದೇ ಹೊಂದಿದವನು ಉಳಿದವರಂತೆ ನಟಿಸಬಹುದು, ಮತ್ತು ವಿನಿಮಯವು ಎಂದೂ ಇಲ್ಲದ ಗುರುತು ಕೀಲಿಗಳಿಂದ ಮುಂದಕ್ಕಿನ ರಹಸ್ಯತೆಯನ್ನು ಪಡೆಯುವುದಿಲ್ಲ.

OpenVPN ನ tls-auth ಮತ್ತು tls-crypt ಆಯ್ಕೆಗಳು ನಿಯಂತ್ರಣ ಚಾನೆಲ್‌ಗೆ ಸ್ಥಿರ ಕೀಲಿಯನ್ನು ಜೋಡಿಸುತ್ತವೆ, HMAC ಸಹಿಯನ್ನು ಸೇರಿಸುತ್ತವೆ ಅಥವಾ ಮಾತುಕತೆಯನ್ನೇ ಗೂಢಲಿಪೀಕರಿಸುತ್ತವೆ. ಆ ಕೀಲಿ ಬಳಕೆದಾರರ ಗುಪ್ತಪದವಲ್ಲ ಮತ್ತು ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರಕ್ಕೆ ಪರ್ಯಾಯವಲ್ಲ. ಎರಡನ್ನೂ ಬೇರ್ಪಡಿಸುವುದು ನವೀಕರಣದ ಸಮಯದಲ್ಲಿ ಮುಖ್ಯ, ಗುಪ್ತಪದ ಬದಲಾವಣೆ ನಿಯಂತ್ರಣ ಚಾನೆಲ್ ಕೀಲಿಯನ್ನು ಮುಟ್ಟದೆ ಬಿಡುವಾಗ.

WireGuard ನ PSK ಸೇರಿಸುತ್ತದೆ, ಗುರುತು ನೀಡುವುದಿಲ್ಲ

WireGuard ಪಕ್ಷಗಳಿಗೆ ಈಗಾಗಲೇ Curve25519 ಸಾರ್ವಜನಿಕ ಮತ್ತು ಖಾಸಗಿ ಕೀಲಿಗಳಿವೆ, ಕೈಕುಲುಕುವಿಕೆ ಆ ಗುರುತುಗಳನ್ನು ದೃಢೀಕರಿಸುತ್ತದೆ. ಐಚ್ಛಿಕ ಮೊದಲೇ ಹಂಚಿದ ಕೀಲಿ ಸರಪಳಿ ಕೀಲಿಯಲ್ಲಿ ಮಿಶ್ರಣವಾಗಿ ಸಾರ್ವಜನಿಕ ಕೀಲಿ ವಿನಿಮಯದ ಮೇಲೆ ಸಮಮಿತಿಯ ಸಾಮಗ್ರಿ ಸೇರಿಸುತ್ತದೆ.

ಅದು ತನ್ನಷ್ಟಕ್ಕೇ ಗುರುತನ್ನಾಗಲಿ ಬಳಕೆದಾರರ ಖಾತೆಯನ್ನಾಗಲಿ ನೀಡುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ನಿರ್ವಾಹಕನು ಇಬ್ಬರು ಹೊಂದಿದವರನ್ನು ಅವರ PSK ಮೂಲಕ ಪ್ರತ್ಯೇಕಿಸಲಾರನು. ಎರಡೂ ತುದಿಗಳಲ್ಲಿ ಒಂದೇ ಮೌಲ್ಯ ಇರಬೇಕು, ಇಲ್ಲದಿದ್ದರೆ ಕೈಕುಲುಕುವಿಕೆ ಉಪಯುಕ್ತ ದೋಷ ಸಂದೇಶವಿಲ್ಲದೆ ವಿಫಲವಾಗುತ್ತದೆ. ಆದ್ದರಿಂದ ತಿರುಗುವಿಕೆಯನ್ನು ಒಂದು ಕಡತವನ್ನು ಸಂಪಾದಿಸುವಂತೆ ಅಲ್ಲ, ಎರಡೂ ಬದಿಗಳಿಗೆ ಒಟ್ಟಿಗೆ ಯೋಜಿಸಬೇಕು.

ಹಂಚಿಕೆ, ತಿರುಗುವಿಕೆ ಮತ್ತು ತೆಗೆಯುವಿಕೆಯನ್ನು ಪರಿಶೀಲಿಸಿ

ಒಂದು ರಹಸ್ಯವನ್ನು ಅನೇಕ ಸ್ಥಳಗಳಲ್ಲಿ ಬಳಸುವ ಪ್ರತಿ ವಿನ್ಯಾಸದ ದುರ್ಬಲ ಸ್ಥಾನ ಹಂಚಿಕೆ. ಚಾಟ್ ವಿಂಡೋದಲ್ಲಿ ಅಂಟಿಸಿದ, ಭಂಡಾರದಲ್ಲಿ ಸಂಗ್ರಹಿಸಿದ ಅಥವಾ ಪರಿಸರಗಳ ನಡುವೆ ಮರುಬಳಕೆಯಾದ ಮೌಲ್ಯ ಯಾರೂ ಎಣಿಸಲಾಗದ ಪ್ರತಿಗಳನ್ನು ಸಂಗ್ರಹಿಸುತ್ತದೆ, ಪ್ರತಿ ಪ್ರತಿಯೂ ಹಾನಿಯ ವ್ಯಾಪ್ತಿಯನ್ನು ಸದ್ದಿಲ್ಲದೆ ವಿಸ್ತರಿಸುತ್ತದೆ.

Base64 ಪಠ್ಯ ಗೂಢಲಿಪೀಕರಣವಲ್ಲ. ಅದೇ ಫೋಲ್ಡರ್‌ನಲ್ಲಿ ಸಾರ್ವಜನಿಕ ಪ್ರಮಾಣಪತ್ರದ ಪಕ್ಕದಲ್ಲಿ ಇಟ್ಟ ರಹಸ್ಯ ಇನ್ನೂ ತೆರೆದ ಪಠ್ಯದಲ್ಲಿ ರಹಸ್ಯವೇ.

openssl rand -base64 32
sudo wg show wg0 preshared-keys
sudo grep -R -n 'psk' /etc/ipsec.d/ 2>/dev/null

ವೇಳಾಪಟ್ಟಿಯ ಪ್ರಕಾರ ಮತ್ತು ಯಾವುದೇ ಸಂದೇಹಾಸ್ಪದ ಬಹಿರಂಗದ ನಂತರ ತಿರುಗಿಸಿ, ಹಳೆಯ ಮೌಲ್ಯವನ್ನು ರದ್ದು ಮಾಡುವ ಮೊದಲು ಪ್ರತಿ ಉದ್ದೇಶಿತ ಪಕ್ಷವನ್ನು ನವೀಕರಿಸಿ. ನಂತರ ಸಂಪರ್ಕವನ್ನು ಎರಡೂ ತುದಿಗಳಿಂದ ಪರೀಕ್ಷಿಸಿ, ಏಕೆಂದರೆ ಹೊಂದಿಕೆಯಾಗದ ಕೀಲಿ ಕೈಕುಲುಕುವಿಕೆಯಲ್ಲಿ ವಿಫಲವಾಗಿ ಫೈರ್‌ವಾಲ್ ಸಮಸ್ಯೆಯಂತೆಯೇ ಕಾಣುತ್ತದೆ.

ಯಾವ ರಹಸ್ಯ ಯಾವ ಹಂತವನ್ನು ರಕ್ಷಿಸುತ್ತದೆ ಎಂದು ದಾಖಲಿಸಿ, ಗುಪ್ತಪದ ಮರುಹೊಂದಿಕೆ ಎಂದಿಗೂ ಗೂಢಲಿಪೀಕರಣ ಕೀಲಿಯ ನವೀಕರಣದೊಂದಿಗೆ ಬೆರೆತುಹೋಗದಂತೆ. ಆ ಒಂದು ಸಾಲು ಪ್ರತಿ ಬಾರಿ ಯಾರಾದರೂ ನಿಯೋಜನೆಯನ್ನು ಪರಿಶೀಲಿಸಿದಾಗ ಒಂದು ಗಂಟೆ ಉಳಿಸುತ್ತದೆ.