Што докажува спецификацијата на VPN протокол и што не

Документот на протоколот е договор меѓу имплементациите, и внимателното читање ви кажува што ќе разменат две соодветни страни и кои својства дизајнерите имале намера да ги обезбедат. Тој не ви кажува кој бинарен файл работи на серверот на кој се поврзувате, како е конфигуриран тој сервер или што се случува потоа со записот на вашата сметка. Тоа се три различни вида докази, и третирањето на спецификацијата како сите три е начинот на кој името на протоколот почнува да работи работа што не може. Раздвојувањето на тие три е целата вежба.

Документот е почеток на аргумент, а не негов заклучок.

Што всушност определува документот

За WireGuard, описот на протоколот определува Noise IK ракување, фиксен сет примитиви, распореди на пораки и транспортно врамување што потоа носи пакети. За IKEv2, споредлив артефакт е RFC 7296, кој определува размени, корисни товари и преговарање за предлози. Во двата случаи опфатот е прецизен: пораките, машината на состојби и претпоставките под кои важат безбедносните цели.

Опционалните режими го комплицираат читањето. Својство што важи за едно ракување може да не важи за распоредување со поинаков аранжман за автентикација или резервна конфигурација.

Каде запираат гаранциите

Формалната анализа одговара на прашање за модел. Работата за верификација на WireGuard користи симболичен модел во докажувачот Tamarin, кој може да покаже дека дизајнот се спротивставува на одредени напади според неговите претпоставки; тоа не покажува дека испорачаната имплементација во корисничкиот простор нема грешка во безбедноста на меморијата. Токму во овој јаз меѓу моделот и машината живеат вистинските инциденти. Читањето на доказ како сертификат за имплементација е категорична грешка.

Напредната тајност ја илустрира истата граница. Својството зависи од тоа клучевите да се уништат како што протоколот предвидува, а тоа е својство на имплементацијата и неговата околина, а не на форматот на пораката. Дизајн што пропишува бришење не може да го наметне на платформа што ја преместува меморијата на диск.

Слоевитите зависности уште повеќе го прошируваат јазот: TLS библиотеката зад тунел заснован на TLS, кернел интерфејсот што го користи тунел во корисничкиот простор и генераторот на случајни броеви сите стојат надвор од текстот на протоколот.

Проследете ги бајтите до изградбата

Преминете од документ кон артефакти со идентификување верзии и потоа споредување со она што навистина служи сообраќај. Производ што именува протокол може да додаде компоненти за обезбедување, телеметрија и управување што спецификацијата никогаш не ги опишува.

openvpn --version | head -3
wg --version
dpkg -l | grep -E 'openvpn|wireguard|libssl'
ss -lunp | grep -E '1194|51820'
sha256sum ./wireguard-tools_1.0.20210914_amd64.deb

Репродуцираните изградби и објавените контролни суми овозможуваат поврзување на дрвото на изворниот код со дистрибуирана бинарна датотека. Без таа врска, објавениот извор докажува само дека проверката е можна, а не дека датотеката што работи одговара на него.

Конфигурацијата припаѓа на истиот чекор. Шифрарските комплети, дозволените страни и поставките за рутирање се избори за распоредување, а усогласената изградба конфигурирана невнимателно сепак создава слаб тунел.

Држете ги оперативните практики одвоени

Записите на сметката, податоците за плаќање и барањата за поддршка се одлуки на операторот што ниту еден текст на протокол не ги ограничува. Извештајот за ревизија опфаќа именувани компоненти во рамки на објавен опфат, а политиката за приватност ги опишува намерите и практиките; ниту едното не го заменува другото и ниту едното не е криптографска изјава.

Прецизниот заклучок е кумулативен: спецификацијата го објаснува дизајнот, изградбата и конфигурацијата го објаснуваат тунелот, а документираните практики на операторот го објаснуваат сето она што тунелот никогаш не го гледа. Кажете што од тоа сте провериле и тврдењето останува точно.