Шифрлоо маалыматты жашырат; аутентификация өнөктөштү атайт
Шифрлоо мазмунду коргойт, өнөктөштү аутентификациялоо серверди атайт, ал эми авторизация ошол инсандын эмнени ача аларын чечет. VPN долбоорунда үчөөнү тең сураңыз.
Өнөктөштү текшерүүсүз шифрлоо купуя сүйлөшүүнү туура эмес тарапка жеткириши мүмкүн. Авторизациясыз аутентификация ким кошулганын далилдейт, бирок эмнени ача аларын эмес. Булар үч өзүнчө көзөмөл жана шифр жөнүндө гана сураган VPN сереби ошолордун бирине жооп берет. Каалаган жөндөө баракчасын ачардан мурун суроолорду иреттеңиз.
Аны коопсуз деп атоодон мурун төрт суроо
Серепти төрт суроо түзөт: байкоочулар эмнени окуй алат, кайсы сервер жооп берет, ким кошулат жана ошол инсанга эмнени колдонууга уруксат. Биринчисине шифрлоо, экинчисине өнөктөштү аутентификациялоо, үчүнчүсүнө колдонуучунун же түзмөктүн аутентификациясы, акыркысына авторизация жооп берет. Шифрдин аталышы же ийгиликтүү кирүү — жарым-жартылай жооп гана.
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
Бир сапты жоопсуз калтырган долбоор экинчисин бекемдөө менен коопсуз болбойт. Көзөмөлдөр бирин-бирин толуктайт, алмаштырылбайт.
Өнөктөштү аутентификациялоо — кирүү эмес
Кардар сервер өзү көздөгөн сервер экенин конфигурацияланган сертификаттар, ачык ачкычтар же башка колдоого алынган механизм аркылуу текшерет. Ишенимдүү сертификат органы өзү качандыр бир берген ар бир сертификатты туура серверге айландырбайт, ошондуктан инсанды текшерүү дагы эле маанилүү. Текшерилбеген акыркы чекитке жарактуу сырсөз киргизүү аны ишенимдүү кылбайт. Сырсөз жооп берген каалаган тарапка аутентификациялоого даяр экениңизди гана далилдейт.
WireGuard ошол эле идеяны башка куралдар менен көрсөтөт: конфигурацияланган өнөктөш ачкычы браузер стилиндеги сертификат терезесинсиз инсанды текшерет. Көп колдонуучуга белгилүү жалпы сыр жеке адамдан көрө топту аныктайт, ошондуктан түзмөктүн уникалдуу күбөлүгү көбүнчө күчтүүрөөк инсанды алып жүрөт.
Аутентификацияланган шифрлоо — криптографиялык термин
Аутентификацияланган шифрлоо шифрдин купуялуулукту коргой турганын жана уруксатсыз өзгөртүүлөрдү аныктай турганын билдирет. Бул адам кирди дегенди билдирбейт жана каттоо эсеби кайсы файлдарды ача аларын чечпейт. Шифр топтомунун аталышы курулушту сүрөттөйт, эки тараптын ортосундагы мамилени эмес. Пакеттин бүтүндүгү, өнөктөштүн инсаны жана каттоо эсебинин уруксаттары — өзүнчө далилдери бар байланыштуу талаптар.
RFC 5280 ишеним профили сертификат жолдору жана инсанды текшерүү үчүн маалымдама, эгер жайылтуу X.509 колдонсо. Аны окуу аутентификацияланган деген сөздү коопсуздун синоними деп эсептөөдөн пайдалуураак.
Көзөмөлдү алсыратпас мурун бузулушту окуңуз
Мөөнөтү өткөн сертификат, туура эмес системалык саат жана күтүлбөгөн сервер инсанынын ар биринин өз түзөтүүсү бар. Баш тартылган каттоо эсебинин башкасы бар. Эгер сервер мыйзамдуу түрдө өзгөрсө, жаңыртылган ишеним материалын текшерилген оператордон алыңыз. Туннель туташуусу үчүн инсанды текшерүүнү алып салуу көрүнүп турган бузулушту көрүнбөгөн менен алмаштырат.
Туннель көз каранды болгон күбөлүктөрдү коргоңуз. Профилде жеке ачкыч болушу мүмкүн, ал эми сакталган сырсөз алыскы кирүүгө уруксат бере алат. Бирөө агып кетсе, кызматтын каттоо эсеби же ачкычтарды башкаруу процессин колдонуңуз, анткени кардар каталогунда башка өлкөнү тандоо эски инсанды жокко чыгарбайт.