iOS huet Ären strongSwan-Tunnel ofgeleent: vergläicht d'IKE-Virschléi

Näischt am Zertifikat oder an der Adress erkläert, firwat en iPhone, dee sech d'lescht Joer mat strongSwan verbonnen huet, dëst Joer feelt. Un der Adress, um virdru gedeelten Schlëssel oder un der Identitéit vum Client huet sech näischt misse änneren. Wat sech verréckelt huet, ass d'Lëscht vun den Transformatiounen, iwwer déi de agebaute Client vum Telefon bereet ass ze verhandelen, a soubal déi Lëscht sech net méi mam Server senger iwwerschneit, ass den Austausch eriwwer, ier iergendeen seng Identitéit gepréift gëtt.

D'Loglinn, déi et entscheet

Schrauft d'Logging fir déi Verbindung erop a fannt déi zwou Entréen, déi d'Resultat entscheeden: wat den Telefon ugebueden huet a wat de Server gewielt huet. Wann d'Log ouni gewielte Virschlag ophält an et mellt, datt näischt gepasst huet, gouf d'Authentifikatioun ni probéiert. En neien Zertifikat an en neit Passwuert ännere genau deemools näischt, well béid méi spéit verbraucht ginn. Keng vun béide kann engem Resultat influenzéieren, dat entscheet gouf, ier d'Identitéit gepréift gouf.

Hält déi zwou Feelerformen auserneen, ier Dir eppes ännert. Keng Ännerung un den Transformatiounen rett ofgeleente Umeldungsdaten, a keng Korrektur vun den Donnéeën rett eng ofgeleent Transformatioun. D'Logentrée, déi e gewielte Virschlag nennt, seet Iech, a wéi enger vun den zwou Dir sidd. Ouni déi Entrée roppt Dir.

Déi gewielte Linn nennt de Virschlag duerch säin Transformatiounsset an net duerch en frëndlecht Etikett. Vergläicht d'Felder fir Verschlësselung, Integritéit a Grupp an där Linn mat der Lëscht, déi den Telefon geschéckt huet, well eng Ofwäichung an engem eenzegen Feld genuch ass fir ze verléieren.

Wat sech um Telefon geännert huet

Eng iOS-Versioun huet d'Algorithmen ofgeschnidden, déi hire Client bereet ass ze benotzen. Schwaach Integritéits-Hashes, kleng Diffie-Hellman-Gruppen an Virschléi, déi al Optiounen als éischt oplëschten, goufen net méi akzeptéiert.

Lëschte méi laang si hei net méi sécher. D'Auswiel follegt dem akzeptéierte Set vum Telefon a senger eegener Preferenzuerdnung, also kann en Server, deen e breede Katalog annoncéiert, d'Verhandlung nach ëmmer verléieren, wann déi modern Entréeën net déi sinn, déi gewielt ginn. Bevirzugt eng kuerz Lëscht mat de moderne Entréeën uewen. Eng laang Lëscht, déi mat alen Optiounen opgeet, luet genee dee Feeler an, deen Dir wëllt vermeiden. Den akzeptéierte Set ass eng baussenzeg Restriktioun, déi sech beweegt, wann de Client sech aktualiséiert, also ass eng Konfiguratioun, déi gëschter funktionnéiert huet, e Beweis iwwer gëschter.

Eng Koppel, déi nach verhandelt

Fir aktuell Telefone genuch eng eenzeg modern Kombinatioun. Eng Koppel, déi verhandelt, gesäit sou aus:

ike=aes256-sha2_256-modp2048
esp=aes256-sha2_256

D'ike-Linn dréit d'Verschlësselung, d'Integritéit an de Grupp Diffie-Hellman, déi wärend dem Schlësselaustausch benotzt ginn. D'esp-Linn deckt nëmmen den Datekanal of, well de Grupp festgeluecht gouf, ier en gëllt. Luet d'Verbindung nei oder start den Daemon nei, da verbënnt den Telefon nach eng Kéier. Hält dee Gruppwäert nëmmen, wann all Client, deen Dir bedreit, en nach akzeptéiert, a maacht de Virschlag net fir all méi breet, well eng al Géigestell méi brauch.

Dräi Plazen et ze flécken, eng ass meeschtens zou

• Ee modernen Virschlag fir all Géigestell. Richteg, wann all Clienten aktuell Telefonen an Desktope sinn. Et läscht déi al Transformatiounen, amplaz ronderëm ze verhandelen.
• Eng zweet Verbindungsdefinitioun fir Apple-Clienten. Hält eng al Géigestell um Liewen a gëtt dem Telefon e Virschlag, deen et akzeptéiert. Et kascht nach e Verbindungsblock a mécht d'Ausnam sichtbar.
• De Client änneren. Selwe verbonne fir Iech: wann e Managementsystem oder eng App de Profil liwwert, gëtt et keen Editors fir Virschléi unzedréie fir dee Fall, an de agebaute Client weist keen.

Wielt déi zweet Optioun, wann en Apparat baussent Ärer Kontroll net kann aktualiséiert ginn. Wielt déi éischt, wann Dir déi al Géigestell kënnt pensionéieren an et léiwer eng eenzeg Politik dréit.

Sou oder sou ass d'Auswiel an der Konfiguratioun sichtbar, an dat ass de Punkt. En stille Réckzuch, deen op eng al Transformatioun erof verhandelt, ass méi schlëmm wéi e kloere Block, well keng Iwwerpréiwung en iergens op den Dësch bréngt.

Beweist et, da schreift et op

Verbonnt nach eng Kéier a préift dräi getrennt Fakten um Server: e Virschlag gouf gewielt, d'Verbindung weist sech als opgebaut, an de Client huet eng Adress kritt. En opgebaute Handshake ouni Griefadress deit op de Pool oder d'Trafficsselektoren hin, an et gehéiert an eng eege Ännerung. Béides zesummen ze behandelen, léisst eng geléist Verhandlung ongeléist ausgesinn.

Schreift de Set vun Transformatiounen op, deen akzeptéiert gouf, wéini Dir en geännert hutt a wéi engem Client-Build Dir verifizéiert hutt. Déi nächst Aktualiséierung kann d'Ufuerderung nees verréckelen, an d'Wäerter, déi funktionéiert hunn, sinn dat éischt, wat Dir niewent den neie wëllt hunn.