IPsec, OpenVPN жана WireGuard ичинде алдын ала бөлүшүлгөн ачкыч эмне кылат

Алдын ала бөлүшүлгөн ачкыч деген сөздөр IPsec, OpenVPN жана WireGuard документтеринде кездешет, бирок үч түрдүү объектини билдирет. Бири аутентификация сыры, экинчиси башкаруу каналын коргойт, үчүнчүсү буга чейин инсандыктары бар кол алышууга материал кошот. Аларды бири-бирин алмаштыруучу деп эсептесек, эч ким күтпөгөн баскычта ийгиликсиз болгон байланыш алабыз. Маанини ошол жерге көчүрүүдөн мурун талаанын ошол протоколдо эмне кылаарын окуңуз.

Үч протокол, үч маани

Ар бир протокол ачкычтын милдетин өз спецификациясында аныктайт жана бул милдеттер кабатталбайт. Аутентификация сыры эки тарап бирдей маанини билерин далилдейт. Башкаруу каналынын ачкычы кийинки сүйлөшүүлөрдү коргойт. Кол алышууга кошулган бөлүк тараптардын ким экенин өзгөртпөстөн ачкыч графигин өзгөртөт.

Бул ролдордун эч бири адамды аутентификациялабайт жана эң көп убакытты алган чаташуу ушул. Алдын ала бөлүшүлгөн ачкыч алмашууга чейин түзмөктөргө же шлюздарга жайгаштырылат, ошондуктан ар бир ээси каршы тарапка бирдей көрүнөт. Бул касиет эки маршрутизатордун ортосундагы байланыш үчүн артыкчылык, ал эми аты белгилүү кызматкерлери бар алыскы кирүү кызматы үчүн тобокелдик. Эсептин далилдемелерин жана криптографиялык сырды жайгаштырууну сүрөттөгөн документтин өзүнчө тилкелеринде сактаңыз.

IPsec жана OpenVPN сөздү башкача колдонот

IKEv2 каршы тарапты сертификаттын ордуна алдын ала бөлүшүлгөн сыр менен аутентификациялай алат жана маани эки тарапта тең дал келиши керек. Ошол эле сыр адатта тараптар тобу үчүн конфигурациялангандыктан, каалаган ээси башкалардын ордуна өтө алат жана алмашуу эч качан болбогон инсандык ачкычтарынан алдыга карай купуялуулук таппайт.

OpenVPNдин tls-auth жана tls-crypt параметрлери башкаруу каналына статикалык ачкычты тиркейт, же HMAC кол тамгасын кошот, же сүйлөшүүлөрдүн өзүн шифрлейт. Бул ачкыч колдонуучунун сырсөзү эмес жана кардар сертификатын алмаштырбайт. Экөөнү ажыратуу жаңыртуу убагында маанилүү, анткени сырсөздү алмаштыруу башкаруу каналынын ачкычына тийбейт.

WireGuardдын PSKсы кошот, инсандык бербейт

WireGuard тараптарынын Curve25519 ачык жана жеке ачкычтары буга чейин бар жана кол алышуу ушул инсандыктарды аутентификациялайт. Кошумча алдын ала бөлүшүлгөн ачкыч чынжыр ачкычына аралашат жана ачык ачкычтардын алмашуусунун үстүнө симметриялык материал кошот.

Ал өзүнчө инсандык да, колдонуучу эсеби да бербейт, ошондуктан оператор эки ээсин PSKлары боюнча ажырата албайт. Эки тарап тең бирдей маанини алып жүрүшү керек, болбосо кол алышуу пайдалуу ката билдирүүсүз ийгиликсиз болот. Ошондуктан ротацияны бир файлды оңдоо катары эмес, эки тарап үчүн бир убакта пландаштыруу керек.

Таратууну, ротацияны жана алып салууну текшериңиз

Таратуу бир сырды көп жерде колдонгон ар кандай долбоордун алсыз жери. Чат терезесине чапталган, кампада сакталган же чөйрөлөр ортосунда кайра колдонулган маани эч ким санай албаган көчүрмөлөрдү топтойт жана ар бир көчүрмө зыян аймагын унчукпай кеңейтет.

Base64 тексти шифрлөө эмес. Ошол папкада ачык сертификаттын жанында сакталган сыр дагы эле ачык тексттеги сыр.

openssl rand -base64 32
sudo wg show wg0 preshared-keys
sudo grep -R -n 'psk' /etc/ipsec.d/ 2>/dev/null

График боюнча жана шектелген ачыкка чыгуудан кийин ротация жасаңыз, эски маанини кайтарып алганга чейин бардык пландалган тарапты жаңыртыңыз. Андан кийин байланышты эки тараптан тең текшериңиз, анткени дал келбеген ачкыч кол алышууда ийгиликсиз болот жана так коргоо дубалынын маселесине окшош көрүнөт.

Кайсы сырдын кайсы баскычты коргой турганын документтештириңиз, ошондо сырсөздү кайра коюу эч качан криптографиялык ачкычты жаңыртуу менен чаташтырылбайт. Ошол бир сап кимдир бирөө жайгаштырууну текшерген сайын бир саат үнөмдөйт.