IPsec, OpenVPN, WireGuard дотор урьдчилан хуваалцсан түлхүүр юу хийдэг

Урьдчилан хуваалцсан түлхүүр гэх үг IPsec, OpenVPN, WireGuard-ийн баримт бичигт гардаг боловч гурван өөр объектыг илэрхийлдэг. Нэг нь баталгаажуулалтын нууц, нөгөө нь хяналтын сувгийг хамгаалдаг, гурав дахь нь аль хэдийн таних тэмдэгтэй гар барилт дээр материал нэмдэг. Эдгээрийг харилцан солигдох гэж үзвэл хэн ч хүлээгээгүй үе шатанд бүтэлгүйтэх холболт үүснэ. Утгыг тэнд хуулахаас өмнө талбарын тухайн протоколд юу хийдгийг уншина уу.

Гурван протокол, гурван утга

Протокол бүр түлхүүрийн үүргийг өөрийн тодорхойлолтод заадаг бөгөөд эдгээр үүрэг давхцдаггүй. Баталгаажуулалтын нууц нь хоёр тал ижил утгыг мэддэгийг нотолдог. Хяналтын сувгийн түлхүүр дараагийн хэлэлцээрийг хамгаалдаг. Гар барилтад нэмэгдэх хэсэг нь талууд хэн болохыг өөрчлөхгүйгээр түлхүүрийн хуваарийг өөрчилдөг.

Эдгээр үүргийн аль нь ч хүнийг баталгаажуулдаггүй бөгөөд хамгийн их цаг иддэг андуурал нь яг энэ юм. Урьдчилан хуваалцсан түлхүүрийг солилцооны өмнө төхөөрөмж эсвэл гарцуудад байрлуулдаг тул эзэмшигч бүр нөгөө талд ижил харагдана. Энэ шинж хоёр чиглүүлэгчийн хоорондын холболтод давуу тал, нэр нь тодорхой ажилтантай алсын хандалтын үйлчилгээнд эрсдэл болно. Бүртгэлийн мэдээлэл болон криптограф нууцыг байршуулалтыг тайлбарласан баримтын тусдаа баганад хадгална уу.

IPsec болон OpenVPN уг үгийг өөрөөр хэрэглэдэг

IKEv2 нөгөө талыг гэрчилгээний оронд урьдчилан хуваалцсан нууцаар баталгаажуулж болох бөгөөд утга хоёр талд таарах ёстой. Ижил нууцыг ихэвчлэн талуудын бүлэгт тохируулдаг тул эзэмшигч бүр бусдын оронд орж чадна, солилцоо нь хэзээ ч байгаагүй таних тэмдгийн түлхүүрээс урагшлах нууцлал олж авдаггүй.

OpenVPN-ийн tls-auth болон tls-crypt сонголтууд хяналтын сувагт статик түлхүүр хавсаргаж, HMAC гарын үсэг нэмэх эсвэл хэлэлцээрийг өөрөө шифрлэдэг. Энэ түлхүүр хэрэглэгчийн нууц үг биш бөгөөд клиентийн гэрчилгээг орлохгүй. Хоёрыг ялгах нь шинэчлэх үед чухал, учир нь нууц үг солих нь хяналтын сувгийн түлхүүрт хүрэхгүй.

WireGuard-ийн PSK нэмдэг, таних тэмдэг өгдөггүй

WireGuard-ийн талууд аль хэдийн Curve25519 нийтийн болон хувийн түлхүүртэй бөгөөд гар барилт эдгээр таних тэмдгийг баталгаажуулдаг. Сонголтоор урьдчилан хуваалцсан түлхүүр гинжин түлхүүрт холилдож, нийтийн түлхүүрийн солилцооны дээр тэгш хэмт материал нэмдэг.

Энэ нь өөрөө таних тэмдэг ч, хэрэглэгчийн бүртгэл ч өгдөггүй тул оператор хоёр эзэмшигчийг PSK-аар нь ялгаж чадахгүй. Хоёр тал ижил утгыг агуулах ёстой, эс бөгөөс гар барилт ашигтай алдааны мэдэгдэлгүйгээр бүтэлгүйтнэ. Тиймээс ротацийг нэг файлыг засах хэлбэрээр биш, хоёр талд нэгэн зэрэг төлөвлөх хэрэгтэй.

Тархалт, ротаци, устгалыг шалгана уу

Тархалт нь нэг нууцыг олон газар ашигладаг аливаа төслийн сул цэг юм. Чат цонхонд наасан, агуулахад хадгалсан эсвэл орчин хооронд дахин ашигласан утга нь хэн ч тоолж чадахгүй хуулбаруудыг хуримтлуулж, хуулбар бүр хохирлын хүрээг чимээгүй өргөжүүлдэг.

Base64 текст нь шифрлэлт биш. Нэг хавтас дотор нийтийн гэрчилгээний хажууд хадгалсан нууц нь нээлттэй текст дэх нууц хэвээр байна.

openssl rand -base64 32
sudo wg show wg0 preshared-keys
sudo grep -R -n 'psk' /etc/ipsec.d/ 2>/dev/null

Хуваарийн дагуу болон сэжигтэй илэрсний дараа ротаци хийж, хуучин утгыг буцаахаас өмнө төлөвлөсөн тал бүрийг шинэчилнэ үү. Дараа нь холболтыг хоёр талаас туршина уу, учир нь таарахгүй түлхүүр гар барилтад бүтэлгүйтэж, яг галт хананы асуудал шиг харагдана.

Аль нууц аль үе шатыг хамгаалдгийг баримтжуулна уу, ингэснээр нууц үг шинэчлэх нь криптограф түлхүүр шинэчлэхтэй хэзээ ч андуурагдахгүй. Тэр нэг мөр хэн нэгэн байршуулалтыг шалгах бүрт нэг цаг хэмнэдэг.