IPsec, OpenVPN, WireGuard എന്നിവയിൽ മുൻകൂട്ടി പങ്കിട്ട കീ എന്തു ചെയ്യുന്നു

മുൻകൂട്ടി പങ്കിട്ട കീ എന്ന വാക്കുകൾ IPsec, OpenVPN, WireGuard രേഖകളിൽ കാണാം, പക്ഷേ മൂന്ന് വ്യത്യസ്ത വസ്തുക്കളെ സൂചിപ്പിക്കുന്നു. ഒന്ന് പ്രാമാണീകരണ രഹസ്യമാണ്, മറ്റൊന്ന് ഒരു നിയന്ത്രണ ചാനൽ സംരക്ഷിക്കുന്നു, മൂന്നാമത്തേത് ഇതിനകം ഐഡന്റിറ്റികൾ ഉള്ള കൈകൊടുക്കലിലേക്ക് വസ്തു ചേർക്കുന്നു. ഇവയെ പരസ്പരം മാറ്റാവുന്നവയായി കാണുന്നത് ആരും പ്രതീക്ഷിക്കാത്ത ഘട്ടത്തിൽ പരാജയപ്പെടുന്ന കണക്ഷൻ ഉണ്ടാക്കും. ഒരു മൂല്യം അതിലേക്ക് പകർത്തുന്നതിന് മുൻപ് ആ പ്രോട്ടോക്കോളിൽ ആ ഫീൽഡ് എന്തു ചെയ്യുന്നുവെന്ന് വായിക്കുക.

മൂന്ന് പ്രോട്ടോക്കോളുകൾ, മൂന്ന് അർത്ഥങ്ങൾ

ഓരോ പ്രോട്ടോക്കോളും കീയുടെ ചുമതല തന്റെ സ്പെസിഫിക്കേഷനിൽ നിർവചിക്കുന്നു, ആ ചുമതലകൾ ഒന്നിനൊന്ന് കവിയുന്നില്ല. പ്രാമാണീകരണ രഹസ്യം രണ്ട് കക്ഷികൾ ഒരേ മൂല്യം അറിയുന്നുവെന്ന് തെളിയിക്കുന്നു. നിയന്ത്രണ ചാനലിന്റെ കീ തുടർന്നുള്ള ചർച്ചകളെ സംരക്ഷിക്കുന്നു. കൈകൊടുക്കലിന്റെ അധിക ഭാഗം കീ ഷെഡ്യൂൾ മാറ്റുന്നു, പക്ഷേ കക്ഷികൾ ആരെന്ന് മാറ്റുന്നില്ല.

ഈ റോളുകളൊന്നും മനുഷ്യനെ പ്രാമാണീകരിക്കുന്നില്ല, ആ ആശയക്കുഴപ്പമാണ് ഏറ്റവും സമയം എടുക്കുന്നത്. മുൻകൂട്ടി പങ്കിട്ട കീ കൈമാറ്റത്തിന് മുൻപ് ഉപകരണങ്ങളിലോ ഗേറ്റ്‌വേകളിലോ സ്ഥാപിക്കുന്നു, അതിനാൽ ഓരോ ഉടമയും എതിർവശത്തിന് ഒരേപോലെ കാണപ്പെടുന്നു. ഈ സ്വഭാവം രണ്ട് റൂട്ടറുകൾക്കിടയിലെ ബന്ധത്തിന് നേട്ടവും പേരുള്ള ജീവനക്കാരുള്ള വിദൂര പ്രവേശന സേവനത്തിന് അപകടവുമാണ്. അക്കൗണ്ട് ക്രെഡൻഷ്യലും ഗൂഢശാസ്ത്ര രഹസ്യവും വിന്യാസം വിവരിക്കുന്ന രേഖയുടെ വെവ്വേറെ നിരകളിൽ സൂക്ഷിക്കുക.

IPsec, OpenVPN എന്നിവ ആ വാക്ക് വ്യത്യസ്തമായി ഉപയോഗിക്കുന്നു

IKEv2 ഒരു കക്ഷിയെ സർട്ടിഫിക്കറ്റുകൾക്ക് പകരം മുൻകൂട്ടി പങ്കിട്ട രഹസ്യം കൊണ്ട് പ്രാമാണീകരിക്കാം, മൂല്യം രണ്ടറ്റത്തും ഒത്തുപോകണം. അതേ രഹസ്യം സാധാരണയായി ഒരു കക്ഷി സംഘത്തിന് ക്രമീകരിക്കുന്നതിനാൽ, ഏത് ഉടമയ്ക്കും മറ്റുള്ളവരായി നടിക്കാം, കൈമാറ്റത്തിന് ഒരിക്കലും ഇല്ലാത്ത ഐഡന്റിറ്റി കീകളിൽ നിന്ന് മുന്നോട്ടുള്ള രഹസ്യത ലഭിക്കുന്നില്ല.

OpenVPN ന്റെ tls-auth, tls-crypt ഓപ്ഷനുകൾ നിയന്ത്രണ ചാനലിലേക്ക് ഒരു സ്ഥിര കീ ഘടിപ്പിക്കുന്നു, HMAC ഒപ്പ് ചേർക്കുന്നു അല്ലെങ്കിൽ ചർച്ചകൾ തന്നെ എൻക്രിപ്റ്റ് ചെയ്യുന്നു. ആ കീ ഉപയോക്തൃ പാസ്‌വേഡല്ല, ക്ലൈന്റ് സർട്ടിഫിക്കറ്റിന് പകരമാകുന്നുമില്ല. രണ്ടിനെയും വേർതിരിക്കുന്നത് പുതുക്കലിന്റെ സമയത്ത് പ്രധാനമാണ്, പാസ്‌വേഡ് മാറ്റം നിയന്ത്രണ ചാനലിന്റെ കീയെ തൊടാതെ വിടുമ്പോൾ.

WireGuard ന്റെ PSK ചേർക്കുന്നു, തിരിച്ചറിയുന്നില്ല

WireGuard കക്ഷികൾക്ക് ഇതിനകം Curve25519 പൊതു, സ്വകാര്യ കീകൾ ഉണ്ട്, കൈകൊടുക്കൽ ആ ഐഡന്റിറ്റികളെ പ്രാമാണീകരിക്കുന്നു. ഓപ്ഷണൽ മുൻകൂട്ടി പങ്കിട്ട കീ ശൃംഖലാ കീയിൽ കലരുന്നു, പൊതു കീ കൈമാറ്റത്തിന് മുകളിൽ സമമിത വസ്തു ചേർക്കുന്നു.

അത് സ്വയം ഐഡന്റിറ്റിയോ ഉപയോക്തൃ അക്കൗണ്ടോ നൽകുന്നില്ല, അതിനാൽ ഓപ്പറേറ്റർക്ക് രണ്ട് ഉടമകളെ അവരുടെ PSK കൊണ്ട് വേർതിരിക്കാനാകില്ല. രണ്ടറ്റത്തും ഒരേ മൂല്യം ഉണ്ടായിരിക്കണം, അല്ലെങ്കിൽ കൈകൊടുക്കൽ ഉപയോഗപ്രദമായ പിശക് സന്ദേശമില്ലാതെ പരാജയപ്പെടുന്നു. അതിനാലാണ് ഭ്രമണം ഒരു ഫയൽ തിരുത്തുന്നതുപോലെയല്ല, രണ്ട് വശങ്ങൾക്കും ഒരുമിച്ച് ആസൂത്രണം ചെയ്യേണ്ടത്.

വിതരണം, ഭ്രമണം, നീക്കം എന്നിവ പരിശോധിക്കുക

ഒരു രഹസ്യം പലയിടത്തും ഉപയോഗിക്കുന്ന ഓരോ രൂപകൽപ്പനയുടെയും ദുർബലമായ ബിന്ദു വിതരണമാണ്. ചാറ്റ് ജാലകത്തിൽ ഒട്ടിച്ചതോ സംഭരണിയിൽ സൂക്ഷിച്ചതോ പരിതസ്ഥിതികൾക്കിടയിൽ വീണ്ടും ഉപയോഗിച്ചതോ ആയ മൂല്യം ആർക്കും എണ്ണാനാകാത്ത പകർപ്പുകൾ ശേഖരിക്കുന്നു, ഓരോ പകർപ്പും ഹാനിയുടെ പരിധി നിശ്ശബ്ദമായി വിപുലീകരിക്കുന്നു.

Base64 പാഠം എൻക്രിപ്ഷനല്ല. അതേ ഫോൾഡറിൽ പൊതു സർട്ടിഫിക്കറ്റിന് അരികിൽ സൂക്ഷിച്ച രഹസ്യം ഇപ്പോഴും തുറന്ന പാഠത്തിൽ രഹസ്യമാണ്.

openssl rand -base64 32
sudo wg show wg0 preshared-keys
sudo grep -R -n 'psk' /etc/ipsec.d/ 2>/dev/null

സമയക്രമം അനുസരിച്ചും ഏതെങ്കിലും സംശയാസ്പദമായ വെളിപ്പെടുത്തലിന് ശേഷവും ഭ്രമണം ചെയ്യുക, പഴയ മൂല്യം റദ്ദാക്കുന്നതിന് മുൻപ് ഓരോ ലക്ഷ്യ കക്ഷിയും പുതുക്കുക. പിന്നീട് ബന്ധം രണ്ടറ്റത്തുനിന്നും പരിശോധിക്കുക, കാരണം ഒത്തുപോകാത്ത കീ കൈകൊടുക്കലിൽ പരാജയപ്പെട്ട് ഫയർവാൾ പ്രശ്നം പോലെ തന്നെ തോന്നുന്നു.

ഏത് രഹസ്യം ഏത് ഘട്ടത്തെ സംരക്ഷിക്കുന്നു എന്ന് രേഖപ്പെടുത്തുക, പാസ്‌വേഡ് പുനഃസജ്ജീകരണം ഒരിക്കലും ഗൂഢശാസ്ത്ര കീയുടെ പുതുക്കലുമായി കൂട്ടിക്കലരാതിരിക്കാൻ. ആ ഒരു വരി ഓരോ തവണ ആരെങ്കിലും വിന്യാസം അവലോകനം ചെയ്യുമ്പോൾ ഒരു മണിക്കൂർ ലാഭിക്കുന്നു.