Шифрлэлт өгөгдлийг нуудаг; баталгаажуулалт эсрэг талыг нэрлэдэг
Шифрлэлт агуулгыг хамгаалж, эсрэг талын баталгаажуулалт серверийг нэрлэж, зөвшөөрөл нь тухайн таних тэмдэг юуг нээж болохыг шийддэг. VPN-ийн загварт гурвууланг нь асуугаарай.
Эсрэг талыг шалгахгүй шифрлэлт нууц яриаг буруу талд хүргэж болно. Зөвшөөрөлгүй баталгаажуулалт хэн нэгдсэнийг нотолдог ч юуг нээж болохыг нотолдоггүй. Эдгээр нь гурван тусдаа хяналт бөгөөд зөвхөн шифрийн талаар асуудаг VPN-ийн тойм тэдгээрийн зөвхөн нэгэнд хариулдаг. Аливаа тохиргооны хуудсыг нээхээс өмнө асуултуудыг эрэмбэлээрэй.
Үүнийг аюулгүй гэж нэрлэхээс өмнөх дөрвөн асуулт
Тоймыг дөрвөн асуулт хүрээлдэг: ажиглагчид юуг уншиж чадах, аль сервер хариулдаг, хэн нэгддэг, тэр таних тэмдэг юуг ашиглаж болох. Эхнийхт нь шифрлэлт, хоёрдугаарт нь эсрэг талын баталгаажуулалт, гуравдугаарт нь хэрэглэгч эсвэл төхөөрөмжийн баталгаажуулалт, сүүлчид нь зөвшөөрөл хариулдаг. Шифрийн нэр эсвэл амжилттай нэвтрэлт бол зөвхөн хэсэгчилсэн хариулт.
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
Нэг мөрийг хариулалгүй үлдээсэн загвар нөгөөг бэхжүүлснээр аюулгүй болохгүй. Хяналтууд бие биеэ нөхдөг, сольж болохгүй.
Эсрэг талын баталгаажуулалт бол нэвтрэлт биш
Клиент сервер нь зорьсон сервер мөн эсэхийг тохируулсан гэрчилгээ, нийтийн түлхүүр эсвэл өөр дэмжигдсэн механизмаар шалгадаг. Итгэмжлэгдсэн гэрчилгээний байгууллага өөрийн хэзээ нэгэн цагт олгосон бүх гэрчилгээг зөв сервер болгодоггүй тул таних тэмдгийн шалгалт чухал хэвээр. Баталгаажаагүй төгсгөлийн цэгт хүчинтэй нууц үг бичих нь түүнийг итгэмжлэгдсэн болгодоггүй. Нууц үг нь хариулсан хэнд ч баталгаажуулахад бэлэн байсныг л нотолдог.
WireGuard ижил санааг өөр хэрэгслээр харуулдаг: тохируулсан эсрэг талын түлхүүр хөтөч маягийн гэрчилгээний цонхгүйгээр таних тэмдгийн шалгалт хийдэг. Олон хэрэглэгчийн мэддэг нийтлэг нууц нь нэг хүнээс илүү бүлгийг танина, тиймээс өвөрмөц төхөөрөмжийн итгэмжлэл илүү хүчтэй таних тэмдэг агуулдаг.
Баталгаажуулсан шифрлэлт бол криптографийн нэр томьёо
Баталгаажуулсан шифрлэлт гэдэг нь шифр нууцлалыг хамгаалж, зөвшөөрөлгүй өөрчлөлтийг илрүүлдэг гэсэн үг. Энэ нь хүн нэвтэрсэн гэсэн үг биш бөгөөд бүртгэл ямар файл нээж болохыг шийддэггүй. Шифрийн багцын нэр нь бүтцийг тодорхойлдог, хоёр талын харилцааг биш. Пакетийн бүрэн бүтэн байдал, эсрэг талын таних тэмдэг, бүртгэлийн зөвшөөрөл нь тусдаа нотолгоотой холбоотой шаардлагууд юм.
RFC 5280 итгэлцийн профайл нь байршуулалт X.509 ашиглах үед гэрчилгээний зам ба таних тэмдгийн шалгалтын лавлагаа юм. Үүнийг унших нь баталгаажуулсан гэдэг үгийг аюулгүйн ижил утга гэж үзэхээс илүү ашигтай.
Хяналтыг сулруулахаас өмнө алдааг уншаарай
Хугацаа дууссан гэрчилгээ, буруу системийн цаг, гэнэтийн серверийн таних тэмдэг тус бүр өөрийн засвартай. Татгалзсан бүртгэл өөр засвартай. Хэрэв сервер хууль ёсоор өөрчлөгдсөн бол шинэчлэгдсэн итгэлцийн материалыг баталгаажсан оператороос авна уу. Туннель холбогдохын тулд таних тэмдгийн шалгалтыг хасах нь харагдах алдааг үл харагдах алдаагаар солино.
Туннелиас хамаарах итгэмжлэлийг хамгаалаарай. Профайлд хувийн түлхүүр байж болох бөгөөд хадгалсан нууц үг алсын хандалт өгч болно. Нэг нь алдагдвал үйлчилгээний бүртгэл эсвэл түлхүүрийн удирдлагын процессыг ашиглаарай, учир нь клиентийн лавлахад өөр улс сонгох нь хуучин таних тэмдгийг хүчингүй болгодоггүй.