Šifrēšana slēpj datus; autentifikācija nosauc otru pusi
Šifrēšana aizsargā saturu, otras puses autentifikācija nosauc serveri, bet autorizācija izlemj, ko identitāte drīkst atvērt. VPN dizainā jautājiet par visiem trim.
Šifrēšana bez otras puses pārbaudes var konfidenciālu sarunu nogādāt nepareizajai pusei. Autentifikācija bez autorizācijas pierāda, kas pievienojās, bet ne to, ko viņš drīkst atvērt. Tie ir trīs atsevišķi kontroles mehānismi, un VPN apskats, kas jautā tikai par šifru, atbild uz vienu no tiem. Sakārtojiet jautājumus pirms jebkuras iestatījumu lapas atvēršanas.
Četri jautājumi pirms nosaukt to drošu
Apskatu veido četri jautājumi: ko novērotāji var izlasīt, kurš serveris atbild, kas pievienojas un ko šī identitāte drīkst izmantot. Uz pirmo atbild šifrēšana, uz otro otras puses autentifikācija, uz trešo lietotāja vai ierīces autentifikācija, bet uz pēdējo autorizācija. Šifra nosaukums vai veiksmīga pieteikšanās ir tikai daļēja atbilde.
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
Dizains, kas atstāj vienu rindu neaplūkotu, nekļūst drošs, nostiprinot citu. Kontroles mehānismi viens otru papildina, tos nevar aizstāt.
Otras puses autentifikācija nav pieteikšanās
Klients pārbauda, vai serveris ir tas, kas bija paredzēts, izmantojot konfigurētus sertifikātus, publiskās atslēgas vai citu atbalstītu mehānismu. Uzticama sertifikācijas iestāde nepadara katru jebkad izsniegto sertifikātu par pareizo serveri, tāpēc identitātes pārbaude joprojām ir svarīga. Derīgas paroles ievadīšana nepārbaudītā galapunktā to nepadara uzticamu. Parole pierāda tikai to, ka bijāt gatavs autentificēties tam, kas atbildēja.
WireGuard parāda to pašu ideju ar citiem līdzekļiem: konfigurēta otras puses atslēga veic identitātes pārbaudi bez pārlūka stila sertifikāta loga. Koplietots noslēpums, ko zina daudzi lietotāji, vairāk identificē grupu nekā vienu personu, tāpēc unikāli ierīces akreditācijas dati bieži nes stiprāku identitāti.
Autentificēta šifrēšana ir kriptogrāfisks termins
Autentificēta šifrēšana nozīmē, ka šifrs aizsargā konfidencialitāti un atklāj neatļautas izmaiņas. Tas nenozīmē, ka cilvēks ir pieteicies, un tas neizlemj, kurus failus konts drīkst atvērt. Šifrēšanas komplekta nosaukums apraksta konstrukciju, nevis attiecības starp divām pusēm. Pakešu integritāte, otras puses identitāte un konta atļaujas ir saistītas prasības ar atsevišķiem pierādījumiem.
RFC 5280 uzticības profils ir atsauce sertifikātu ceļiem un identitātes pārbaudēm, ja izvietojums izmanto X.509. To lasīt ir lietderīgāk nekā vārdu autentificēts uzskatīt par vārda drošs sinonīmu.
Izlasi kļūmi pirms kontroles vājināšanas
Beigušamies sertifikātam, nepareizam sistēmas pulkstenim un negaidītai servera identitātei katram ir savs labojums. Noraidītam kontam ir cits. Ja serveris ir likumīgi mainījies, iegūstiet atjaunināto uzticības materiālu no pārbaudīta operatora. Identitātes pārbaudes noņemšana, lai tunelis savienotos, nomaina redzamu kļūmi pret neredzamu.
Aizsargājiet akreditācijas datus, no kuriem atkarīgs tunelis. Profilā var būt privātā atslēga, un saglabāta parole var piešķirt attālinātu piekļuvi. Kad kāds noplūst, izmantojiet pakalpojuma konta vai atslēgu pārvaldības procesu, jo citas valsts izvēle klienta direktorijā neatceļ veco identitāti.