Wat en am Viraus gedeelte Schlëssel an IPsec, OpenVPN an WireGuard mécht

D'Wierder am Viraus gedeelte Schlëssel erschéngen an der Dokumentatioun vun IPsec, OpenVPN an WireGuard, awer si beschreiwen dräi verschidde Saachen. Eng ass en Authentifikatiounsgeheimnis, eng aner schützt en Kontrollkanal, an déi drëtt füügt Material zu engem Handshake bäi, deen schonn Identitéiten huet. Wa se als austauschbar behandelt ginn, kritt een eng Verbindung, déi an enger Phas feelt, mat där keen gerechent huet. Liest no, wat d'Feld an deem Protokoll mécht, ier Dir e Wäert era kopéiert.

Dräi Protokollen, dräi Bedeitungen

All Protokoll bestëmmt d'Aufgab vum Schlëssel an senger eegener Spezifikatioun, an d'Aufgaben iwwerschneide sech net. En Authentifikatiounsgeheimnis beweisegt, datt zwou Géigestellen dee selwechte Wäert kennen. E Schlëssel vum Kontrollkanal schützt déi duerno Verhandlungen. En Zousaz zum Handshake ännert de Schlësselplang, ouni ze änneren, wien d'Géigestelle sinn.

Keng vun dëse Rolle authentifizéiert e Mënsch, an genau déi Verwiesslung kascht am meeschten Zäit. En am Viraus gedeelte Schlëssel gëtt virum Austausch op Apparater oder Gateways gesat, sou datt all Halt fir déi aner Säit d'selwecht ausgesäit. Dës Eegenschaft ass en Avantage fir eng Verbindung tëscht zwee Routeren an e Risiko fir en Zougrëff vun der Distanz mat benannte Mataarbechter. Halt d'Kontobegleeder an d'kryptografescht Geheimnis an getrennte Kolonnen vum Dokument, dat d'Entwécklung beschreift.

IPsec an OpenVPN benotzen d'Wuert anescht

IKEv2 kann eng Géigestell mat engem am Viraus gedeelte Geheimnis amplaz vu Zertifikater authentifizéieren, an de Wäert muss op béide Säiten iwwerenee stëmmen. Well deeselwechte Geheimnis meeschtens fir eng Grupp vu Géigestellen agestellt gëtt, kann all Halt sech als déi aner ausginn, an den Austausch gewënnt keng Forward Secrecy aus Identitéitsschlësselen, déi et ni hat.

D'Optiounen tls-auth an tls-crypt vun OpenVPN hänken e statesche Schlëssel un de Kontrollkanal, andeems se eng HMAC-Signatur bäisetzen oder d'Verhandlungen selwer verschlësselen. Dee Schlëssel ass kee Benotzerpasswuert an ersetzt net de Client-Zertifikat. Den Ënnerscheed zielt bei der Erneierung, wann eng Passwuertännerung de Schlëssel vum Kontrollkanal onberéiert léisst.

De PSK vu WireGuard setzt bäi, en identifizéiert net

D'Géigestelle vu WireGuard hunn schonn ëffentlech a privat Curve25519-Schlësselen, an den Handshake authentifizéiert déi Identitéiten. En optionale am Viraus gedeelte Schlëssel gëtt an de Ketteschlëssel gemëscht a bréngt symmetrescht Material iwwer den Austausch vun den ëffentleche Schlësselen.

En gëtt keng eegen Identitéit a kee Benotzerkont, dofir kann en Operateur zwou Halte net un hirem PSK ënnerscheeden. Béid Säiten mussen dee selwechte Wäert droen, soss feelt den Handshake ouni eng hëllefräich Fehlermeldung. Dofir muss d'Rotatioun fir béid Säiten zur gläicher Zäit geplangt ginn an net als Ännerung vun enger eenzeger Datei.

Iwwerpréift Verdeelung, Rotatioun an Ewechhuelen

D'Verdeelung ass de schwaache Punkt an all Design, dat ee Geheimnis op ville Plaze benotzt. E Wäert, deen an e Chatfënster agebitt, an engem Repository gespäichert oder iwwer Ëmfelder hiweg weiderbenotzt gëtt, sammelt Kopien, déi kee kann opzielen, an all Kopie vergréissert roueg de Schuedensradius.

Base64-Text ass keng Verschlësselung. E Geheimnis, dat nieft engem ëffentlechen Zertifikat am selwechten Dossier läit, ass nach ëmmer e Geheimnis am Klartext.

openssl rand -base64 32
sudo wg show wg0 preshared-keys
sudo grep -R -n 'psk' /etc/ipsec.d/ 2>/dev/null

Rotéiert no engem Plang an no all vermuedeter Opdeckung, an aktualiséiert all virgesi Géigestell, ier Dir den ale Wäert zréckzitt. Test dann d'Verbindung vun béide Säiten, well en net passende Schlëssel um Handshake feelt an genau wéi e Firewall-Problem ausgesäit.

Dokumentéiert, wéi ee Geheimnis wéi eng Phas schützt, sou datt eng Passwuertzrécksetzung ni mat der Erneierung vun engem kryptografesche Schlëssel verwiesselt gëtt. Déi eng Linn spuert eng Stonn all Kéier, wann een d'Entwécklung iwwerpréift.