Šifravimas slepia duomenis; autentifikavimas įvardija partnerį
Šifravimas saugo turinį, partnerio autentifikavimas įvardija serverį, o autorizacija nusprendžia, ką tapatybė gali atverti. VPN projekte klauskite visų trijų.
Šifravimas be partnerio patikros gali konfidencialų pokalbį pristatyti ne tai pusei. Autentifikavimas be autorizacijos įrodo, kas prisijungė, bet ne ką jis gali atverti. Tai trys atskiri valdikliai, o VPN apžvalga, kuri klausia tik apie šifrą, atsako į vieną iš jų. Sudėliokite klausimus eilės tvarka prieš atidarydami bet kurį nustatymų puslapį.
Keturi klausimai prieš pavadinant tai saugiu
Apžvalgą remia keturi klausimai: ką gali perskaityti stebėtojai, kuris serveris atsako, kas prisijungia ir ką ši tapatybė gali naudoti. Į pirmą atsako šifravimas, į antrą partnerio autentifikavimas, į trečią naudotojo ar įrenginio autentifikavimas, o į paskutinį autorizacija. Šifro pavadinimas ar sėkmingas prisijungimas tėra dalinis atsakymas.
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
Projektas, paliekantis vieną eilutę neatsakytą, netampa saugus sustiprinus kitą. Valdikliai vienas kitą papildo, jų negalima pakeisti.
Partnerio autentifikavimas nėra prisijungimas
Klientas patikrina, kad serveris yra numatytasis, naudodamas sukonfigūruotus sertifikatus, viešuosius raktus ar kitą palaikomą mechanizmą. Patikima sertifikavimo institucija nepaverčia kiekvieno kada nors išduoto sertifikato tinkamu serveriu, todėl tapatybės patikra vis dar svarbi. Galiojančio slaptažodžio įvedimas nepatikrintame taške nepadaro jo patikimu. Slaptažodis įrodo tik tai, kad buvote pasirengę autentifikuotis tam, kas atsakė.
WireGuard rodo tą pačią idėją kitomis priemonėmis: sukonfigūruotas partnerio raktas atlieka tapatybės patikrą be naršyklės stiliaus sertifikato lango. Bendras slaptas raktas, žinomas daugelio naudotojų, labiau identifikuoja grupę nei vieną asmenį, todėl unikalūs įrenginio prisijungimo duomenys dažnai neša stipresnę tapatybę.
Autentifikuotas šifravimas yra kriptografinis terminas
Autentifikuotas šifravimas reiškia, kad šifras saugo konfidencialumą ir aptinka neteisėtus pakeitimus. Tai nereiškia, kad žmogus prisijungė, ir nenusprendžia, kokius failus paskyra gali atverti. Šifrų rinkinio pavadinimas apibūdina konstrukciją, o ne santykį tarp dviejų šalių. Paketų vientisumas, partnerio tapatybė ir paskyros teisės yra susiję reikalavimai su atskirais įrodymais.
RFC 5280 pasitikėjimo profilis yra sertifikatų kelių ir tapatybės patikrų nuoroda, kai diegimas naudoja X.509. Jį skaityti naudingiau nei žodį autentifikuotas laikyti saugaus sinonimu.
Perskaitykite gedimą prieš susilpnindami valdiklį
Pasibaigęs sertifikatas, neteisingas sistemos laikrodis ir netikėta serverio tapatybė kiekvienas turi savo pataisą. Atmestos paskyros pataisa kitokia. Jei serveris pasikeitė teisėtai, gaukite atnaujintą pasitikėjimo medžiagą iš patikrinto operatoriaus. Tapatybės patikros pašalinimas, kad tunelis prisijungtų, keičia matomą gedimą į nematomą.
Saugokite prisijungimo duomenis, nuo kurių priklauso tunelis. Profilyje gali būti privatus raktas, o išsaugotas slaptažodis gali suteikti nuotolinę prieigą. Kai vienas nuteka, naudokite paslaugos paskyros ar raktų valdymo procesą, nes kitos šalies pasirinkimas kliento kataloge neatšaukia senos tapatybės.