Virun gedeelte IPsec-Schlëssel: d'Byten hannert der Zeechekette déi Dir getippt hutt

Zwee Administratoren vergläichen de Geheim op dem Bildschierm, si sinn eens datt en passt, an den Tunnel schléit trotzdem bei der Authentifizéierung fehl. D'Zeechekette déi si vergläicht hunn ass net de Wäert deen een vun den zwou Säiten an d'Schlësselofleedung gëtt. Tëschent den Zeechen déi Dir gesitt an de Byten déi de Protokoll hasht gëtt et eng Feldtyp, eng Textkodéierung, en Editeur an eng Zwëschenofleg, an all véier kënnen d'Entrée änneren ouni d'Ausgesinn ze änneren. Vergläicht d'Byten an den Ënnerscheed erschéngt normalerweis a Sekonnen.

Wat d'Paart mat der Zeechekette mécht

E virun gedeelte Schlëssel gëtt net iwwer d'Leitung geschéckt an vergläicht. All Säit gëtt seng lokal Kopie an d'Schlësselofleedung fir den IKE-Austausch, an déi resultéierend Authentifizéierungsnotzlaaschte ginn entweder verifizéiert oder net. Dësen Design bedeit datt déi zwou Kopien byte-identesch musse sinn an net nëmmen optesch ähnlech, an et bedeit och datt de Feeler an der Authentifizéierungsphas gemellt gëtt an net als Message iwwer e falscht Passwuert.

Also ass déi nëtzlech Fro ni „gesinn déi gläich aus“ mä „wéi eng exakt Bytesequenz hasht all Implementéierung“.

Wouhier déi zousätzlech Byten kommen

En Zeilennumm um Enn ass de klassesche Schëllegen, an hie verstoppt sech op oppener Plaz, well déi meescht Editeuren onsiichtbar een dobäisetzen wann eng Datei gespäichert gëtt. E Raum um Ufank oder um Enn dee vun engem Chatfenster agekopéiert gouf mécht datselwecht, an och en typesche Gänseféisschen dee vun engem Textveraarbechter duerch e riichten ersat gouf. Näischt dovun ännert de visuellen Vergleich deen e Mënsch mécht.

Vergläicht mat engem Instrument dat Byten an net Glyphen weist. printf '%s' "$PSK" | xxd | tail -2 dréckt d'Enn vum Wäert an Hex aus, wou en verierften 0a oder 20 evident ass. Maacht et op béide Säiten a vergläicht déi zwou Ausgaben niewendrun. Maacht et op generéiertem Testmaterial, net op engem Produktiounsgeheimnis dat Dir duerno an der Shell-Historik loosst.

Kodéiert ass net verschlësselt

Konfiguratiounsexporte droen de Geheim dacks an enger Basiskodéierung, heiansdo mat Zeilenëmbréch all sechzeg oder siebenasiechzeg Zeechen an heiansdo mat Ouffëllung. Wann eng Säit déi dekodéiert Byten erwaart an Dir de kodéierten Text agekopéiert, hutt Dir kee anert Passwuert geschéckt, Dir hutt e vill méi laangt geschéckt aus drueckbaren Zeechen. Base64 bitt guer keng Vertraulechkeet, an dofir däerf e kodéierte Geheim ni an engem Forum agekopéiert ginn fir eng zweet Meenung.

Dem Apple säin IPSec-Wierderbuch ass en nëtzlecht Beispill datt den Typ zielt: et dokumentéiert SharedSecret als Daten fir d'Authentifizéierungsmethod mat gedeeltem Geheim an den L2TP- an Cisco-IPsec-Notzlaaschten. Dat ass eng spezifesch Eegenschaft an enger spezifescher Notzlaascht, net en allgemengen Textfeld dat Dir fir en anere Protokoll kéint erëmbenotzen deen zufälleg e Geheim freet.

Eng behaapt Limite gehéiert zu enger Kombinatioun

Aalt Berichter iwwer eng Plafong vun zweeandrësseg Zeechen op engem Apple-Client si reell Berichter iwwer eng Clientversioun, e Protokoll an eng Profilform. Et sinn net eng universell Limite fir all Apple-Plattform, all Ubidder an all Protokoll. Iwwerpréift d'Versioun, den Notzlaaschttyp an d'Ufuerderung vun der Paart zesummen, test dann op enger guttgeheeschter Konfiguratioun amplaz aus engem Fuedem ze schléissen. Schreift déi getest Kombinatioun an den Ännerungsrekord, well soss zitéiert déi nächst Persoun dee selwechte Fuedem mat méi Vertrauen wéi hien et verdéngt.

Wann eng Limite wierklech gëllt, ass d'Äntwert en ënnerstëtzten Umeldungsdaten-Design dee passt, net eng gekierzte Versioun vun engem staarke Geheim. E Produktiounsschlëssel ofzeschneiden fir eng ugeholl Limite ze erfëllen reduzéiert seng Kraaft permanent a produzéiert en System deem seng Dokumentatioun net méi zu senger Sécherheet passt.

Reparéiert d'Duerstellung, net d'Kraaft

Wann d'Authentifizéierung fehlschléit nodeems d'Duerstellung confirméiert gouf, liest déi effektiv Politik an der Authentifizéierungsphas: wéi eng Method ausgehandelt gëtt, wéi eng Peer-Identitéit erwaart gëtt, an ob d'Paart zu der Verbindung passt déi Dir mengt. Progressiv méi schwaach Vermutungen sinn keng Diagnos, si sinn eng lues Ofwäertung mat engem Supportticket ugehaangen.

Wann déi erfuerderlech Umeldungsdaten den Standard vun der Organisatioun net kënne erfëllen, ännert den Design op eenen deen et kann. E gedeelte Geheim mat genuch Entropie, eemol generéiert, an engem verwaltete Feld gespäichert an ni publizéiert, ass eng komplett gutt Äntwert; eng méi kierzt Versioun dovun ass et net.