രണ്ട് VPN പാളികൾ അടുക്കിവയ്ക്കണോ? പരിശോധിക്കാൻ മൂന്ന് വ്യവസ്ഥകൾ

VPN-ലേക്ക് രണ്ടാമത്തെ എൻക്രിപ്ഷൻ പാളി ചേർക്കുന്നതിന് മുമ്പ്, ഒരു ചോദ്യത്തിന് സത്യസന്ധമായി ഉത്തരം നൽകുക: രണ്ട് പാളികളും അവയുടെ ജോലി ചെയ്തതിന് ശേഷവും നിരീക്ഷകന്റെ കൈവശം എന്താണ് ഉള്ളത്? ഉത്തരം ഉള്ളിലെ സൈഫർടെക്സ്റ്റ് ആണെങ്കിൽ, മാറ്റമില്ലാതെ, അപ്പോൾ നെസ്റ്റിംഗ് സമയം വാങ്ങി, അത്രമാത്രം. തുടർന്ന് വരുന്നത് ശുപാർശയല്ല, തീരുമാന നടപടിക്രമമാണ്. അതേ ഡയഗ്രം ഒരു വിന്യാസത്തിൽ പാഴാക്കിയ പ്രോസസറും മറ്റൊന്നിൽ ശരിയായ ഉത്തരവുമാണ്, ആ രണ്ടിനെ വേർതിരിക്കുന്നത് മൂന്ന് വ്യവസ്ഥകൾ മാത്രമാണ്.

നിരീക്ഷകൻ എന്താണ് സൂക്ഷിക്കുന്നതെന്ന് എഴുതുക

എതിരാളിക്ക് ഇന്ന് സംഭരിക്കാൻ കഴിയുന്ന വസ്തു രേഖപ്പെടുത്തുക, തുടർന്ന് ഒടുവിൽ വ്യക്തമായ ടെക്സ്റ്റ് വെളിപ്പെടുത്തുന്ന നീക്കം ചെയ്യലുകളുടെ ക്രമം രേഖപ്പെടുത്തുക. പുറം തുരങ്കം സൈഫർടെക്സ്റ്റ് ഉത്പാദിപ്പിക്കുന്നു; അതിന്റെ സംരക്ഷണം അവസാനിക്കുമ്പോൾ ശേഷിക്കുന്നത് അകത്തെ തുരങ്കത്തിന്റെ സൈഫർടെക്സ്റ്റാണ്, ഇപ്പോഴും മുദ്രവെച്ചിരിക്കുന്നു. ആവരണം നീക്കുന്നത് ഡീക്രിപ്ഷൻ അല്ല. ആ വാക്യം നെസ്റ്റിംഗിനെ വിവരിക്കുന്നു, അകത്തെ കീ അതിജീവിക്കുന്നിടത്തോളം മാത്രമേ അത് ശരിയാകൂ. രണ്ട് പാളികളും എന്തെങ്കിലും പങ്കിടുന്ന നിമിഷം, സമയരേഖ ഒരു സംഭവമായി തകരുന്നു.

അതിനാൽ ഉപയോഗപ്രദമായ വസ്തു ഒരു സമയരേഖയാണ്, പെട്ടികളുടെ ഡയഗ്രമല്ല. ഓരോ പാളിക്കും അന്തിമ പോയിന്റ്, കീയുടെ ഉടമ, ഐഡന്റിറ്റി പരിശോധന, ഊഹം പരാജയപ്പെടുമെന്ന് പ്രതീക്ഷിക്കുന്ന വർഷം എന്നിവ എഴുതുക.

നിങ്ങളുടെ സ്വന്തം അവകാശവാദം പരീക്ഷിക്കാനുള്ള പ്രായോഗിക മാർഗം: നിരീക്ഷകൻ എല്ലാം രേഖപ്പെടുത്തുന്നു, ഒരിക്കലും കീഴടങ്ങുന്നില്ല എന്ന് കരുതുക. ആ ഊഹത്തിന് കീഴിൽ, ആവശ്യമായ ജീവിതകാലം മുഴുവൻ ഡിസൈൻ പേലോഡിനെ ഇപ്പോഴും സംരക്ഷിക്കുന്നുണ്ടോ? ഉത്തരം നിരീക്ഷകൻ ട്രാഫിക് സംഭരിക്കേണ്ടതില്ല എന്ന് തിരഞ്ഞെടുക്കുന്നതിനെ ആശ്രയിച്ചിരിക്കുന്നുവെങ്കിൽ, ഡിസൈനിന് ഉത്തരമില്ല.

ഒന്നാം വ്യവസ്ഥ: പാളികൾ വ്യത്യസ്ത സ്ഥലങ്ങളിൽ നിർത്തുന്നുണ്ടോ?

രണ്ട് പാളികളും വ്യത്യസ്ത വിശ്വാസ മേഖലകളിൽ അവസാനിക്കുമ്പോൾ നെസ്റ്റിംഗ് പ്രതിഫലം നൽകുന്നു, ഉദാഹരണത്തിന് ദാതാവ് നിയന്ത്രിക്കുന്ന IPsec ഗേറ്റ്‌വേ നിങ്ങളുടെ സ്വന്തം നെറ്റ്‌വർക്കിനുള്ളിൽ അവസാനിക്കുന്ന ആപ്ലിക്കേഷൻ തലത്തിലുള്ള തുരങ്കത്തിന് മുന്നിൽ. അപ്പോൾ പുറം പാളി തകർക്കുന്നത് നിങ്ങളുടെ ഹോസ്റ്റിന് മാത്രം തുറക്കാനാകുന്ന സൈഫർടെക്സ്റ്റ് നൽകുന്നു, ദാതാവ് ഒരു ഘട്ടത്തിലും വ്യക്തമായ ടെക്സ്റ്റ് കാണുന്നില്ല. രണ്ട് പാളികളും ഒരേ ഗേറ്റ്‌വേയിൽ വയ്ക്കുക, ആ ഗുണം അപ്രത്യക്ഷമാകും. പെട്ടി വീഴ്ത്തുന്ന ആൾ രണ്ട് ഡീക്രിപ്ഷൻ പ്രവർത്തനങ്ങൾക്കിടയിലെ ട്രാഫിക് വായിക്കുന്നു, ഡയഗ്രം എത്ര ആവരണങ്ങൾ കാണിച്ചാലും.

ഇത് ഡിസൈൻ കൊണ്ടല്ല, ഇൻസ്റ്റാൾ ചെയ്ത അവസ്ഥ കൊണ്ട് പരിശോധിക്കുക. Linux-ൽ, ip xfrm state ഓരോ സുരക്ഷാ അസോസിയേഷനും അതിന്റെ അന്തിമ പോയിന്റുകളും പട്ടികപ്പെടുത്തുന്നു, ഇത് ഓരോ പാളിയും യഥാർത്ഥത്തിൽ എവിടെ നിർത്തുന്നു എന്ന് നിർണ്ണയിക്കുന്നു.

രണ്ടാം വ്യവസ്ഥ: കീ മെറ്റീരിയൽ യഥാർത്ഥത്തിൽ സ്വതന്ത്രമാണോ?

ഒരു സർട്ടിഫിക്കറ്റ്, ഒരു മുൻകൂട്ടി പങ്കിട്ട കീ, അല്ലെങ്കിൽ ഒരു വെണ്ടർ ലൈബ്രറി എന്നിവയിൽ നിന്ന് നിർമ്മിച്ച രണ്ട് പാളികൾ അധിക ഘട്ടങ്ങളുള്ള ഒരു പാളിയാണ്. അപ്പോൾ ഒരു ചോർന്ന ക്രെഡൻഷ്യൽ രണ്ടും തുറക്കുന്നു, ഒരു ഇംപ്ലിമെന്റേഷൻ ബഗ് രണ്ടും ഒരുമിച്ച് നീക്കം ചെയ്യുന്നു. സ്വാതന്ത്ര്യം കോൺഫിഗറേഷനിൽ കാണേണ്ടതാണ്, സ്ലൈഡിൽ അവകാശപ്പെടരുത്.

ഇവിടെ ഹൈബ്രിഡ് കീ സ്ഥാപനം തുരങ്കങ്ങൾ അടുക്കിവയ്ക്കുന്നതിനെ മറികടക്കുന്നു. IKEv2 ഒരു ചർച്ചയിൽ നിരവധി കീ കൈമാറ്റങ്ങൾ വഹിക്കാൻ കഴിയും, അതിനാൽ ഒരു ക്ലാസിക്കൽ ഗ്രൂപ്പും ഒരു പോസ്റ്റ്-ക്വാണ്ടം KEM-ഉം ഒരേ സെഷൻ കീകൾക്ക് ഭക്ഷണം നൽകാൻ കഴിയും, പരസ്പരം ചുറ്റിപ്പിടിച്ച് പൊതിയുന്നതിന് പകരം. ഫലം രണ്ട് രഹസ്യങ്ങളെയും ആശ്രയിക്കുന്ന കീകളുള്ള ഒരു സുരക്ഷാ അസോസിയേഷനാണ്, ആക്രമണകാരി രണ്ടും തകർക്കണം. ഇത് നിർവചിക്കപ്പെട്ട ഘടനയുള്ള രേഖപ്പെടുത്തിയ നിർമ്മാണമാണ്, രണ്ട് VPN ഉൽപ്പന്നങ്ങളുടെ വീട്ടിൽ നിർമ്മിച്ച കൂമ്പാരമല്ല. strongSwan-ൽ, swanctl --list-sas ഓരോ SA-ക്കും ചർച്ച ചെയ്ത നിർദ്ദേശം അച്ചടിക്കുന്നു, അങ്ങനെ നിങ്ങൾ കോൺഫിഗർ ചെയ്തതല്ല, യഥാർത്ഥത്തിൽ എന്താണ് പ്രവർത്തിച്ചതെന്ന് സ്ഥിരീകരിക്കുന്നു.

മൂന്നാം വ്യവസ്ഥ: ഡാറ്റ പുറം ഊഹത്തെ അതിജീവിക്കുന്നുണ്ടോ?

ഇരുപത് വർഷം നിലനിൽക്കേണ്ട ഒരു പാളിക്ക് ഇരുപത് വർഷത്തെ വാദം ആവശ്യമാണ്. ഇപ്പോൾ രേഖപ്പെടുത്തി പിന്നീട് ഡീക്രിപ്റ്റ് ചെയ്യുന്നത് വിലകുറഞ്ഞതാണ്, അതുകൊണ്ടാണ് ക്ലാസിക്കൽ പുറം പാളിയെ കൂടുതൽ ശക്തമായ എന്തിനെയെങ്കിലും ചുറ്റുമുള്ള താൽക്കാലിക ആവരണമായി കണക്കാക്കാൻ കഴിയാത്തത്.

ഓരോ കീ എപ്പോൾ വീണ്ടെടുക്കാനാകും എന്ന് ചോദിക്കുക, സൈഫർ ഇന്ന് തകർന്നിട്ടുണ്ടോ എന്നല്ല. മുന്നോട്ടുള്ള രഹസ്യതയില്ലാത്ത സ്റ്റാറ്റിക് കീ കൈമാറ്റം സ്വകാര്യ കീ വീഴുന്ന ദിവസം പിന്നോട്ട് പരാജയപ്പെടുന്നു. എഫെമറൽ കീ കരാർ ആക്രമണകാരിക്ക് അവ ജീവനോടെ ആക്രമിക്കാൻ കഴിയുന്ന സെഷനുകളിൽ മാത്രം, അല്ലെങ്കിൽ അൽഗോരിതം തന്നെ ദുർബലമാകുമ്പോൾ പരാജയപ്പെടുന്നു. ആ വ്യത്യാസം 2040-ൽ അകത്തെ പാളി ഇപ്പോഴും സഹായിക്കുന്നുണ്ടോ എന്ന് തീരുമാനിക്കുന്നു. പുറം പാളി എന്തെങ്കിലും മാറ്റുന്നുണ്ടോ എന്നും അത് തീരുമാനിക്കുന്നു, കാരണം ദുർബലമായ കീ ആയുസ്സുള്ള പുറം പാളി സമയരേഖയിലെ ഏറ്റവും നേരത്തെയുള്ള പോയിന്റായി മാറുന്നു.

ഉത്തരം ഇല്ല എന്നാകുമ്പോൾ പകരം എന്ത് നിർമ്മിക്കണം

മൂന്ന് വ്യവസ്ഥകളിൽ ഏതെങ്കിലും പരാജയപ്പെട്ടാൽ, നെസ്റ്റിംഗ് ഉപേക്ഷിച്ച് ജീവിതകാല ആവശ്യകത യഥാർത്ഥത്തിൽ വഹിക്കുന്ന പാളിയിൽ പരിശ്രമം ചെലവഴിക്കുക. നിങ്ങൾ ഇതിനകം പ്രവർത്തിപ്പിക്കുന്ന പ്രോട്ടോക്കോളിൽ ഹൈബ്രിഡ് കീ കൈമാറ്റം കോൺഫിഗർ ചെയ്യുക, ഇംപ്ലിമെന്റേഷൻ കാലികമായി സൂക്ഷിക്കുക, നിങ്ങൾ ആശ്രയിക്കുന്ന ഘടന എഴുതി സൂക്ഷിക്കുക. ഡിസൈൻ രേഖയിൽ ML-KEM പേരെടുത്തു പറയുന്നത് സുരക്ഷാ ഗുണമല്ല, കൂടാതെ FIPS 203 കീ-എൻക്യാപ്സുലേഷൻ സംവിധാനം നിർവചിക്കുന്നു, നിങ്ങളുടെ തുരങ്കമല്ല.

രണ്ടാം പാളി യഥാർത്ഥത്തിൽ അതിന്റെ സ്ഥാനം നേടുന്നിടത്ത്, അതിനെ തെളിവായല്ല, ആഴത്തിലുള്ള പ്രതിരോധമായി വിവരിക്കുക. തുടർന്ന് ഘടന പരിശോധിക്കുക: ഏത് അന്തിമ പോയിന്റ് ഏത് കീ കൈവശം വയ്ക്കുന്നു, ഓരോ വശവും ഏത് ഐഡന്റിറ്റി പരിശോധിക്കുന്നു, കൺസോൾ പ്രവേശനമുള്ള ഓപ്പറേറ്റർ എന്ത് വായിക്കാം. ആ മൂന്ന് ചോദ്യങ്ങളെ അതിജീവിക്കുന്ന ഡിസൈൻ അധിക പ്രോസസറിന് അർഹമാണ്. അതിജീവിക്കാത്തത് വെറും ഡയഗ്രമാണ്.

മാറ്റ വിൻഡോയ്ക്ക് മുമ്പ് നിലവിലെ SA പട്ടികയും ചർച്ച ചെയ്ത നിർദ്ദേശങ്ങളും പകർത്തുക, അതിന് ശേഷം വീണ്ടും പകർത്തി താരതമ്യം ചെയ്യുക, കാരണം പ്രധാനമായ ഏക തെളിവ് ഉപകരണങ്ങൾ യഥാർത്ഥത്തിൽ അംഗീകരിച്ചതാണ്.