VPN šifravimo teiginiai: ką turi pasakyti dokumentacija

Pažiūrėkite į didelį skaičių šalia algoritmo pavadinimo ir paklauskite, ką jis iš tikrųjų matuoja. Jis nepasako, kuri jungtis apsaugota, kuris protokolas teikia apsaugą ar kokius nustatymus palaiko jūsų klientas. Puslapis, kuris negali susieti savo teiginio su vienu iš jų, yra reklama, o ne dokumentacija. Toliau pateikti patikrinimai yra skaitymo tvarka bet kokiai gautai santraukai, o pirmasis teiginys, kurio negalite susieti su konkrečia jungtimi, yra vieta, kur reikia sustoti.

Nustatykite, kurią jungtį teiginys apima

Vienas produkto puslapis gali vienoje pastraipoje aptarti tunelio šifravimą, HTTPS į paskyros portalą ir saugomų duomenų šifravimą. Tai skirtingi keliai ir skirtingos saugojimo sistemos, todėl vieno savybė nieko nesako apie kitus. Nuspręskite, apie kurį iš trijų yra sakinys, prieš lygindami jį su konkurentu. Tas pats žodis, šifravimas, pasirodo visuose trijuose kontekstuose ir kiekvieną kartą reiškia ką kita.

Dėl paties tunelio ieškokite dokumentuoto protokolo ir dokumentuoto palaikomų saugumo nustatymų rinkinio. Šios trys etiketės nėra keičiamos: numatytasis rinkinys ateina be jūsų pasirinkimo, pasirenkamasis režimas taikomas tik jei jį pasirenka profilis, o suderintas rezultatas yra tai, dėl ko abi šalys susitarė jungdamosios. Tiekėjas, kuris tai sulieja, pasakė mažiau, nei atrodo.

Patikrinkite protokolą ir rinkinį, kurį jis leidžia

Pradėkite nuo kliento profilio, o ne nuo palyginamosios grafikos. Profilis nurodo protokolą, o protokolas nusprendžia, kurie rinkiniai apskritai įmanomi, kaip rodo du įprasti atvejai.

IKEv2 pasiūlymų sąrašas yra meniu, iš kurio renkasi tarpinė, todėl gaunamas rinkinys gali skirtis tarp dviejų tarpinių su identiškais kliento nustatymais. WireGuard tokio meniu neturi, todėl jo teiginį lengviau patikrinti ir siauriau aprašyti. Nė viena tvarka savaime nėra stipresnė; esmė ta, kad dokumentacija turi pasakyti, kuri turima omenyje.

Vien šifro pavadinimas taip pat praleidžia autentifikavimą, raktų nustatymą, metaduomenų atskleidimą ir saugojimą. Šiuolaikinės konstrukcijos sujungia šifravimą ir vientisumą į vieną rinkinį, o senesnės juos skiria, todėl vieno algoritmo pavadinimo citavimas gali paslėpti, kokią savybę iš tikrųjų gaunate. Kai puslapis to nenurodo, raštu paprašykite derybų politikos.

Patikrinkite antrosios šalies autentifikavimą ir atnaujinimo būseną

Antrosios šalies autentifikavimas priklauso teiginiui net tada, kai rinkodaros tekstas jį praleidžia. Stiprus šifravimas nepatvirtintam gavėjui nėra rezultatas, kurio kas nors siekė, o tunelis, kuris negali pasakyti, kas atsakė, apsaugo mažiau, nei atrodo. Pažiūrėkite, kaip klientas tikrina serverį: sertifikatų grandinė, prisegtas raktas ar iš anksto bendrinama paslaptis. Tai skirtingi pasitikėjimo modeliai su skirtingais gedimo režimais.

Tada patikrinkite įgyvendinimą ir jo atnaujinimo būseną, nes dokumentuotas šifras nepataisytame kliente aprašo versiją, kurios galbūt nenaudojate. Protokolo autorių paskelbti apribojimai verti perskaityti dėl tos pačios priežasties. Klientas, kuris nebuvo atnaujintas metus, teigia ką kita nei jūsų akivaizdoje esantis puslapis.

Patikrinkite, kur tunelis baigiasi

Tunelis iš kliento į serverį baigiasi VPN serveryje. Programos šifravimas, pavyzdžiui, HTTPS į už jo esančią paslaugą, gali apsaugoti srautą toliau maršrute, o už serverio tai gali būti vienintelė likusi apsauga. Perskaitykite operatoriaus paaiškinimą apie galinius taškus ir nuspręskite, kuriam iš šių sluoksnių teiginys priklauso.

Registravimo politika ir paskyros sekimas yra visiškai už šifravimo ribų. Operatorius gali perduoti šifruotą turinį stebėdamas laiką, adresus ir apimtį, todėl teiginys apie turinio konfidencialumą nieko neatsako apie tai, kas įrašoma. Saugojimą traktuokite kaip atskirą klausimą su savais įrodymais.

Užrašykite, ko dokumentacija nesako

Kai savybės trūksta, užrašykite, kad jos trūksta, o ne spręskite ją iš programinės įrangos pavadinimo ar reputacijos. Auditas apima tik tas savybes ir komponentus, kuriuos jis tikrai ištyrė, o dokumentacijos spraga yra savarankiškas radinys. Užrašykite spragą, kol dar atsimenate, kuris puslapis ją sukūrė.

Jūsų valdomoje mašinoje perskaitykite rinkinį iš gyvos sesijos, naudodami kliento būsenos puslapį arba tarpinės saugumo asociacijų sąrašą, ir užrašykite tą reikšmę šalia kliento versijos. Šis įrašas vėliau, kai atnaujinimas pakeičia suderintą rezultatą, padaro tiekėjo teiginį palyginamą. Jei klientas ir dokumentacija nesutaria, pasitikėkite suderintu rezultatu ir praneškite apie neatitikimą, o ne tylomis jį sutaikykite.